Wie RetroArch über Microsofts eigene Private-App-Lücke in den Xbox-Einzelhandel gelangte

Emulatoren waren auf Konsolen-Storefronts nie willkommen, doch im November 2020 berichtete Ars Technica, dass der Entwickler „tunip3“ RetroArch auf der Xbox Series X/S als „Retail“-App über ein offenbar vorhandenes Loch in Microsofts App-Vertriebssystem verbreitete: eine leicht modifizierte UWP-Version von RetroArch, veröffentlicht als „private“ App – eine Kategorie, die keine Überprüfung durch Microsoft erfordert. Nutzer, deren E-Mail-Adressen einer Whitelist hinzugefügt worden waren, konnten einen Code einlösen und die App direkt auf die Hauptoberfläche der Konsole herunterladen – ohne Developer Mode.

Der Nutzen war real. Die sanktionierte Developer-Mode-Version scheitert an Dateien, die größer als 2 GB sind, wodurch einige Wii- und GameCube-Titel unspielbar werden, und sie sperrt Nutzer während des Spielens aus Spotify und Xbox-Live-Partys aus; der Retail-Build hatte keines dieser Probleme. tunip3 hatte den Weg durch „Versuch und Irrtum, um herauszufinden, wie das System des Stores funktioniert“ gefunden und im Juli 2020 ein kaum bekanntes Verschenk-System genutzt, um die App auf etwa 200 Konsolen zu bringen – sie überstand einen Monat, bevor Microsoft sie bemerkte und entfernte, wobei frühere Installationen intakt blieben.

Diesmal war tunip3 schneller: „Wir haben versucht, so viele Leute so schnell wie möglich darauf zu bringen, auf das Risiko hin, dass Microsoft es früher entdeckt. Wir haben bereits über 1.500 Leute darauf.“ Sie sagten, sie erwarteten die eventuale Entfernung der App und möglicherweise eine Kontosperre, nahmen kein Geld dafür und boten an, mit Microsoft zusammenzuarbeiten, falls man sie darum bäte. Microsoft antwortete nicht auf Ars' Bitte um Stellungnahme.

Microsofts eigener „Private App“-Kanal benötigt keine Überprüfung und wird über E-Mail-Whitelist-Codes ausgeliefert – also den Emulator dort veröffentlichen und Einladungen verteilen.

Die Private-App-Kategorie existiert für die Verteilung an Unternehmen und Partner, daher umgeht sie die Überprüfung, die Emulatoren im öffentlichen Store blockiert.

Die E-Mail-Whitelist schuf eine manuelle Einladungsliste innerhalb eines Retail-Kanals – der Emulator sah auf der Konsolen-Oberfläche aus wie jede andere Store-Installation.

Die künstlichen Beschränkungen des Developer Mode gaben Nutzern einen konkreten Grund, den Graumarkt-Retail-Build zu bevorzugen, und lösten damit ein echtes Problem, statt nur Regeln zu umgehen.

Plattform-Gatekeeper bewachen selten die Türen, die sie vergessen: Vertriebskanäle, die für vertrauenswürdige Partner gebaut wurden, haben oft schwächere Kontrollen als die öffentliche Storefront.

tunip3 erwartete, dass Microsoft den Weg irgendwann schließen würde, wie es beim Verschenk-Build vom Juli geschah; Ars' Bericht endete damit, dass Microsoft noch keine Stellungnahme abgegeben hatte und über 1.500 Nutzer einen Retail-Emulator besaßen, den kein Überprüfungsprozess je genehmigt hatte.