AuthMeReloaded — ein Plugin zur Authentifizierung von Spielern auf einem Minecraft-Server

AuthMeReloaded — ein Plugin zur Authentifizierung von Spielern auf einem Minecraft-Server

AuthMeReloaded ist ein Authentifizierungs-Plugin für Server, die im Offline-Modus laufen. Bis zum Einloggen oder Registrieren kann sich ein Spieler nicht bewegen, keine Blöcke abbauen oder platzieren, keine Befehle eingeben und sein Inventar nicht öffnen. Nach einem erfolgreichen /login werden alle Einschränkungen aufgehoben. Auf Online-Servern fügt das Plugin eine zweite Schutzebene hinzu — zum Beispiel durch 2FA oder Schutz vor Nickname-Diebstahl. 

Der Bildschirm nach dem Betreten des Servers mit einer Meldung über die erforderliche Authentifizierung

Funktionsweise 

Wenn ein Spieler eine Verbindung herstellt, entzieht AuthMe ihm den OP-Status, die Flug- und Gehgeschwindigkeit und beginnt, alle 5 Sekunden Erinnerungen zu senden. Ein registrierter Spieler gibt /login <Passwort> ein, ein neuer — /register <Passwort> <Passwort>. Wenn der Server abstürzt, bevor der Spieler den Server verlässt, werden die Daten über das Limbo-System auf der Festplatte gespeichert — standardmäßig jeder Spieler in einer separaten Datei. 

Standardmäßig werden für Login und Registrierung jeweils 30 Sekunden eingeräumt — danach wird der Spieler gekickt. Das Registrierungslimit von einer einzigen IP beträgt 1 Konto. Der Nickname muss 3 bis 16 Zeichen lang sein, nur [a-zA-Z0-9_]. 

Version 6.0.0 hat einen grafischen Dialog für Login und Registrierung anstelle des Chats hinzugefügt. 

Der grafische Authentifizierungsdialog  

Konfiguration 

Die Konfiguration befindet sich in plugins/AuthMe/config.yml. Sie wird beim ersten Start generiert. 

Datenbank 

Standardmäßig verwendet das Plugin SQLite — die Datei wird ohne zusätzliche Einstellungen im Plugin-Ordner erstellt. Für größere Server wechselst du über den Parameter DataSource.backend zu MySQL, MariaDB oder PostgreSQL. Bei Verwendung einer externen Datenbank werden die Standardwerte mySQLHost, mySQLPort, mySQLUsername, mySQLPassword und mySQLDatabase angegeben.

Sicherheit und Passwörter 

Die minimale Passwortlänge beträgt 5 Zeichen, die maximale 30. Die erlaubten Zeichen werden durch den Regex allowedPasswordCharacters festgelegt, standardmäßig [!-~] — alle sichtbaren ASCII-Zeichen. 

Der Standard-Hashing-Algorithmus ist SHA256. Unterstützt werden BCRYPT, PBKDF2, ARGON2 sowie die Hashes von Forensoftware — PHPBB, MYBB, XENFORO, WORDPRESS und andere. Beim Wechsel des Algorithmus werden alte Passwörter über legacyHashes übernommen — das Plugin hasht beim Login automatisch neu

Das Captcha wird nach 5 fehlgeschlagenen Login-Versuchen aktiviert, ist aber standardmäßig deaktiviert. Ein temporärer IP-Bann nach 10 fehlgeschlagenen Versuchen ist ebenfalls standardmäßig deaktiviert — die Dauer bei Aktivierung beträgt 480 Minuten. 

Registrierung  

Der Standard-Registrierungstyp ist PASSWORD: Der Spieler gibt das Passwort selbst zweimal an. Die zweite Variante ist EMAIL: Das System generiert ein Passwort und sendet es per E-Mail. Für die E-Mail-Wiederherstellung wird SMTP über den Abschnitt Email konfiguriert — standardmäßig ist smtp.gmail.com Port 465 angegeben.

Sitzungen sind standardmäßig deaktiviert. Bei Aktivierung (settings.sessions.enabled: true) wird ein Spieler, der sich innerhalb von 10 Minuten von derselben IP aus einloggt, automatisch authentifiziert.

Befehle 

Alle Befehle des Plugins gliedern sich in zwei Ebenen: Spielerbefehle für die Registrierung und Verwaltung des eigenen Kontos sowie administrative /authme-Befehle zur Verwaltung der Konten anderer Spieler über die Konsole oder mit Admin-Rechten über den Chat. 

Spielerbefehle 

Administrative Befehle

Fazit 

AuthMeReloaded lässt das Spielen erst zu, wenn der Spieler die Authentifizierung durchlaufen hat. Es schützt außerdem vor Nickname-Diebstahl. Die Konfiguration deckt praktisch jedes Szenario ab: vom einfachen SQLite-Server bis zum Multiserver-Netzwerk mit MySQL und Forenintegration. Die meisten Schutzfunktionen sind standardmäßig deaktiviert — Captcha, temporärer Bann, länderbasierter Schutz — und werden bei Bedarf aktiviert.