Cómo se adivinan las contraseñas
Un bot entra con el nick de otra persona y escribe /login con contraseñas de una lista: las más populares, variantes del nick y contraseñas de bases de datos filtradas de otros servidores. Muchos jugadores usan la misma contraseña en todas partes, así que una contraseña filtrada en un servidor a menudo funciona en otro.
El plugin de autenticación banea una dirección después de unos cuantos fallos. Para saltarse ese bloqueo, el atacante envía cada intento desde una dirección nueva de una lista de proxies.
Configura tu plugin de autenticación
El plugin de autenticación hace la mayor parte del trabajo. En AuthMe, nLogin y plugins similares, busca estos ajustes:
- un límite de intentos fallidos y la expulsión tras una contraseña incorrecta;
- un baneo temporal de la dirección tras varios fallos seguidos;
- un tiempo límite para iniciar sesión: quien no haya escrito la contraseña en un minuto es expulsado;
- una longitud mínima de contraseña y la prohibición de las contraseñas más simples;
- inicio de sesión automático para quienes tienen una cuenta con licencia, para que no necesiten contraseña;
- verificación en dos pasos con una aplicación de autenticación, si el plugin lo admite.
Protege a tu staff
La cuenta de un administrador es la que más vale, así que es el primer objetivo. Las contraseñas del staff deben ser largas y no usarse en ningún otro sitio. Si el plugin admite la verificación en dos pasos, actívala al menos para el staff.
De vez en cuando, comprueba desde dónde entran las cuentas del staff. Una entrada desde un país nuevo o un proveedor desconocido merece que la mires con más atención.
Cierra el paso a los proxies
Un límite de intentos por dirección solo funciona mientras el atacante tiene pocas direcciones. Kordon comprueba la conexión en el proxy del servidor, antes del plugin de autenticación. Las VPN, los proxies abiertos y las redes de hosting no pasan, y con el nivel de protección «Estricto» (desde el plan Premium) tampoco los proxies residenciales. Al atacante le quedan menos direcciones y los intentos se vuelven mucho más lentos.
Kordon no ve qué contraseña escribe un jugador ni cuenta los inicios de sesión fallidos. Eso es tarea del plugin de autenticación; Kordon solo deja al atacante menos direcciones que usar.
Señales de fuerza bruta
Los registros del plugin de autenticación muestran muchas contraseñas incorrectas para un mismo nick. El registro de entradas de Kordon (desde el plan Basic) muestra muchas entradas cortas con ese nick desde direcciones y países distintos.
Si ya se han hecho con una cuenta
- Cambia la contraseña de la cuenta con el comando de administración del plugin de autenticación y expulsa la cuenta del servidor.
- Revisa los registros de acciones (CoreProtect, por ejemplo) para ver qué se hizo en nombre del jugador.
- Añade a la lista negra las direcciones desde las que entró el intruso, con una duración (desde el plan Pro).
- Pide al jugador que cambie esa contraseña en todos los sitios donde la haya usado.