Qué riesgos tiene un servidor en modo offline
- cualquier jugador puede usar el nick del admin, y el servidor se lo cree hasta que el plugin de autenticación le pide la contraseña;
- un bot no necesita una cuenta con licencia, así que mil bots le cuestan al atacante lo mismo que uno;
- un nick nuevo después de un baneo no cuesta nada;
- los nicks con espacios o con letras parecidas de otros alfabetos se hacen pasar por los de otra persona.
Un plugin de autenticación es imprescindible
Un plugin de autenticación como AuthMe o nLogin obliga a los jugadores a registrarse y a escribir una contraseña cada vez que entran. Sin él, un servidor no premium está abierto a cualquiera que conozca el nick del admin. Muchos de estos plugins pueden dejar entrar sin contraseña a quienes tienen una cuenta con licencia, algo que a los jugadores les gusta.
Kordon no sustituye al plugin de autenticación: nunca ve ni comprueba contraseñas. Cómo proteger las contraseñas en sí se explica en la guía sobre ataques de fuerza bruta a contraseñas.
Qué cierra Kordon
Kordon comprueba la conexión en el proxy antes de que el jugador llegue siquiera al plugin de autenticación.
- Las VPN, los proxies y las redes de hosting no pasan, así que a un jugador baneado le cuesta más volver con un nick nuevo.
- Kordon detecta por sí mismo una oleada de bots y pasa el servidor al modo ataque.
- Las reglas de nicks cortan los nicks de bots hechos con plantilla y los nicks con letras cirílicas o espacios. El patrón «Como nLogin / AuthMe» coincide con las reglas de esos plugins, así que ningún jugador se quedará atascado en el registro por tener un nick no válido. Ten en cuenta que este patrón deja fuera a los jugadores de Bedrock que llegan por Floodgate, cuyos nicks empiezan por un punto.
- La lista negra admite un nick, una dirección o un rango. El UUID de un jugador no premium se calcula a partir del nick con sus mayúsculas y minúsculas exactas, así que un baneo por UUID se esquiva entrando como
steveen lugar deSteve. Kordon compara los nicks sin distinguir mayúsculas y minúsculas, así que en un servidor no premium es más seguro banear por nick.
Cuidado con la lista blanca
La lista blanca de Kordon deja entrar a un jugador sin la comprobación de VPN. En un servidor en modo online, Mojang confirma el nick. En uno no premium cualquiera puede usarlo, y un elemento de la lista blanca por nick deja entrar sin comprobar a quien se conecte con ese nombre.
Por eso, en un servidor no premium es mejor poner al staff en la lista blanca por dirección IP. Si a alguien le cambia la dirección y no usa VPN, puede que ni siquiera haga falta añadirlo: una dirección normal de casa pasa la comprobación de todos modos.
Nicks con espacios y letras parecidas
En modo offline Velocity acepta nicks formados por casi cualquier carácter, de hasta 16 caracteres. Para el servidor, Steve y Steve con un espacio al final son cuentas distintas, pero en el chat y en la lista de jugadores se ven iguales. Lo mismo pasa con la «а», la «е» y la «о» cirílicas en lugar de las latinas.
La regla «Como Paper», activada por defecto, solo deja entrar letras latinas, cifras, _ y el punto, así que esos nicks no pasan. No la desactives. Más detalles en la guía sobre el filtro de nicks.
Qué hacer, paso a paso
- Instala un plugin de autenticación y fija una longitud mínima de contraseña.
- Instala Kordon en el proxy y sigue uno o dos días lo que hace en modo observación.
- Mantén la regla de nicks «Como Paper», o elige «Como nLogin / AuthMe» si no tienes jugadores de Bedrock.
- Activa la protección en el nivel «Equilibrado».
- Pon al staff en la lista blanca por IP, no por nick.
- Banea a los infractores por nick: con las VPN cerradas no pueden volver rápido.