Les risques d'un serveur en mode offline
- n'importe quel joueur peut prendre le pseudo de l'admin, et le serveur le croit jusqu'à ce que le plugin d'authentification demande un mot de passe ;
- un bot n'a pas besoin de compte premium : mille bots coûtent à l'attaquant autant qu'un seul ;
- un nouveau pseudo après un bannissement ne coûte rien ;
- les pseudos avec des espaces ou des lettres similaires d'autres alphabets passent pour ceux d'autres joueurs.
Un plugin d'authentification est indispensable
Un plugin d'authentification comme AuthMe ou nLogin oblige les joueurs à s'inscrire et à taper un mot de passe à chaque connexion. Sans lui, un serveur crack est ouvert à quiconque connaît le pseudo de l'admin. Beaucoup de ces plugins peuvent laisser entrer sans mot de passe les détenteurs d'un compte premium, ce que les joueurs apprécient.
Kordon ne remplace pas le plugin d'authentification : il ne voit ni ne vérifie jamais les mots de passe. La protection des mots de passe eux-mêmes est expliquée dans le guide sur les attaques par force brute contre les mots de passe.
Ce que Kordon bloque
Kordon vérifie la connexion sur le proxy avant même que le joueur n'atteigne le plugin d'authentification.
- Les VPN, les proxys et les réseaux d'hébergeurs ne passent pas : un joueur banni a donc plus de mal à revenir avec un nouveau pseudo.
- Kordon repère de lui-même une vague de bots et passe le serveur en mode attaque.
- Les règles de pseudo coupent les pseudos de bots générés à partir d'un modèle et les pseudos avec des lettres cyrilliques ou des espaces. Le modèle « Comme nLogin / AuthMe » reprend les règles de ces plugins, pour qu'un joueur ne reste pas bloqué à l'inscription à cause d'un pseudo inadapté. Gardez en tête que ce modèle bloque les joueurs Bedrock venant de Floodgate, dont le pseudo commence par un point.
- La liste noire accepte un pseudo, une adresse ou une plage d'adresses. L'UUID d'un joueur crack est dérivé du pseudo avec sa casse exacte, donc un bannissement par UUID se contourne en se connectant en tant que
steveau lieu deSteve. Kordon compare les pseudos sans tenir compte de la casse : sur un serveur crack, bannir par pseudo est donc plus sûr.
Attention à la liste blanche
La liste blanche de Kordon laisse entrer un joueur sans vérification des VPN. Sur un serveur en mode online, Mojang confirme le pseudo. Sur un serveur crack, n'importe qui peut l'utiliser, et une entrée de la liste blanche par pseudo laisse entrer sans vérification quiconque se connecte sous ce nom.
Sur un serveur crack, mieux vaut donc ajouter le staff à la liste blanche par adresse IP. Si l'adresse de quelqu'un change et qu'il n'utilise pas de VPN, vous n'aurez peut-être même pas besoin de l'ajouter : une adresse domestique ordinaire passe la vérification de toute façon.
Pseudos avec espaces et lettres similaires
En mode offline, Velocity accepte des pseudos composés de presque n'importe quels caractères, 16 au maximum. Pour le serveur, Steve et Steve avec une espace à la fin sont des comptes différents, alors que dans le chat et la liste Tab ils s'affichent de la même façon. Il en va de même pour les « а », « е » et « о » cyrilliques à la place des lettres latines.
La règle « Comme Paper », activée par défaut, ne laisse passer que les lettres latines, les chiffres, _ et le point : ces pseudos ne passent donc pas. Ne la désactivez pas. Plus de détails dans le guide sur le filtre de pseudos.
Que faire, dans l'ordre
- Installez un plugin d'authentification et fixez une longueur minimale de mot de passe.
- Installez Kordon sur le proxy et laissez-le tourner en mode Surveillance pendant un jour ou deux.
- Gardez la règle de pseudo « Comme Paper », ou choisissez « Comme nLogin / AuthMe » si vous n'avez pas de joueurs Bedrock.
- Activez la protection au niveau « Équilibré ».
- Ajoutez le staff à la liste blanche par IP, pas par pseudo.
- Bannissez les fauteurs de troubles par pseudo : les VPN étant bloqués, ils ne peuvent pas revenir rapidement.