spieleprogrammierer.de - Forum und Wiki zur Spieleprogrammierung und Spieleentwicklung

Es kommt ganz darauf an, ob die Kommunikation verschlüsselt ist (HTTP vs. HTTPS) und ob eine sichere Verschlüsselung verwendet wird. Wenn eine "sichere" Verschlüsselung verwendet wird, kann man "nicht" mitlesen, wovon auch die Parameter betroffen sind. Wird keine oder eine unsichere Verschlüsselung, dann "kann" man mitlesen, egal ob die Parameter per GET (Teil der URL) oder POST (Teil des Anfrage-Inhalts) an den Server geschickt werden.

Bedenke aber, dass man immer dann POST-Anfragen verwenden sollte, wenn es dadurch serverseitig zu einer verändernden Aktion (Speichern von Informationen, bspw. des Highscore-Eintrags) kommt, während GET für nicht-verändernde Aktionen (Abfrage der Bestenliste) verwendet werden sollte.
Dies ist zwar für im Browser laufende Anwendungen wichtiger, der Konsistenz wegen sollte dies meiner Meinung nach aber auch bei anderen Anwendungen so fortgeführt werden.
(Schickt man im Browser ein Formular per POST ab, sollte der Browser auf eine andere (Ergebnis-)Seite weitergeleitet werden, während dies bei GET-Anfragen nicht notwendig ist. So verhindert man, dass durch reines Vor- und Zurück-navigieren weitere Änderungen an den Daten durchgeführt werden. Browser warnen auch vor erneuten Abschicken von Formulardaten, wenn es keine solche Weiterleitung gab.)

Ich würde dir ebenfalls zu $_POST raten (und es heißt $_GET )

edit:
md5 ist mittlerweile nicht mehr als sicher anzusehen. Ich würde dir sha256 empfehlen. Schau dir mal hash an.

Jemand der ernsthaft daran interessiert ist, seine gefälschten Scores online zu stellen, dürfte sich davon nicht abhalten lassen, da er sich immernoch den ausgeführten Code disassamblieren kann, um darin dann nach den entsprechenden Anweisungen Ausschau zu halten. Die meisten sollte das aber schon einigermaßen abhalten, bis jemand den richtigen "Salt" findet. (Das ist übrigens dieser "key", den du da verwendest.)
Du könntest auch gucken, ob abgesehen von solch offensichtlichen (Name + Highscore) und statischen (Salt) Werten eventuell "dynamische" Werte für die Hash-Ermittlung verwendet werden, wie die Länge des Namens, die letzte Ziffer (Einerstelle) der Highscore o. ä. Für eine absolute Sicherheit sorgt auch das nicht, es erschwert aber das Erraten des Verfahrens für die Hash-Ermittlung.

Architekt hat in der Hinsicht bereits einen wichtigen Hinweis gegeben: mit md5 ließe sich der Salt wohl schneller finden, da zu gegebenen Hashs wesentlich leichter passende Werte gefunden werden können.
Das Problem bei MD5 sind die Angriffsszenarien, die eben keinen Bruteforce und keine der beschriebenen Tabelle benötigen. Ich habe mich noch nicht ausreichend damit beschäftigt, aber da es im Grunde keinen Mehraufwand darstellt, solltest du lieber direkt SHA-256 o. ä. verwenden.

Wenn die Verwendung von POST-Anfragen schwieriger ist, solltest du auch eine andere Bibliothek umsteigen. Das sollte durchaus zum Standardumfang für HTTP-Kommunikation gehören.

Es geht, und ich weiß aus eigenem Erleben auch, dass es gemacht wird. Wenn Du Dein Spiel der Welt vorstellst, werden zwangsweise die ersten Spieler andere Programmierer sein, z.B. aus diesem Forum hier. Und einige von denen sind neugierig genug, mal kurz mit Wireshark drüber zu schauen, wie Du das Leaderboard implementiert hast.

Ich habe daraufhin damals einen kleinen eigenen Code erfunden, der Bytes nach kleinen internen Tabellen rotiert und xort, um das Ergebnis dann Base64 encodet als POST-Request abzuschicken. Bisher hat das niemand geknackt, was aber sicher nur an mangelndem Interesse liegt. Wirklich ernsthafte Angreifer würde das sicher nicht aufhalten. Muss es ja aber auch nicht - es geht ja nur um ein mäßig erfolgreiches Spiel, und der Großteil der Zocker spielt über Steam, was seine eigenen Leaderboards mitbringt.

Da muss man den Unterschied zwischen "kein Schutz" und "zu geringer Schutz" beachten, worauch Schrompf bereits eingegangen ist. Letzteres wird bereits die einfachen Scriptkiddies davon abhalten, deine Leaderboards zuzuspammen, aber einen Profi wohl eher weniger.
Wie schon in genug anderen Themen bereits beschrieben, ist das immer ein Abwägen von Kosten und Nutzen. Um die Sicherheit zu steigern, muss man einen enormen Mehraufwand investieren. Wird das Spiel am Ende kein megamäßiger Erfolg, würde sich das auch nicht lohnen. Was du derzeitig hast und was Schrompf beschrieben hat, ist da noch sehr einfach gehalten und wehrt Versuche niedriger Stufen ab.