AuthMeReloaded — un plugin per autenticare i giocatori su un server Minecraft

AuthMeReloaded — un plugin per autenticare i giocatori su un server Minecraft

AuthMeReloaded è un plugin di autenticazione per server che funzionano in modalità offline. Fino all'accesso o alla registrazione, un giocatore non può muoversi, rompere o posizionare blocchi, digitare comandi o aprire l'inventario. Dopo un /login riuscito tutte le restrizioni vengono rimosse. Sui server online il plugin aggiunge un secondo livello di protezione — ad esempio tramite 2FA o protezione dal furto del nickname. 

La schermata dopo l'ingresso sul server con un messaggio sulla necessità di autenticarsi

Come funziona 

Quando un giocatore si connette, AuthMe gli toglie lo stato di OP, la velocità di volo e di camminata, e inizia a inviare promemoria ogni 5 secondi. Un giocatore registrato digita /login <password>, uno nuovo — /register <password> <password>. Se il server va in crash prima che il giocatore esca, i dati vengono salvati su disco tramite il sistema limbo — per impostazione predefinita, ogni giocatore in un file separato. 

Per impostazione predefinita vengono concessi 30 secondi per l'accesso e altrettanti per la registrazione — dopodiché il giocatore viene espulso. Il limite di registrazioni da un singolo IP è 1 account. Il nickname deve avere da 3 a 16 caratteri, solo [a-zA-Z0-9_]. 

La versione 6.0.0 ha aggiunto una finestra di dialogo grafica per l'accesso e la registrazione al posto della chat. 

La finestra di dialogo grafica di autenticazione  

Configurazione 

La configurazione si trova in plugins/AuthMe/config.yml. Viene generata al primo avvio. 

Database 

Per impostazione predefinita il plugin utilizza SQLite — il file viene creato nella cartella del plugin senza configurazioni aggiuntive. Per server più grandi, passa a MySQL, MariaDB o PostgreSQL tramite il parametro DataSource.backend. Quando si utilizza un database esterno, si indicano i valori standard mySQLHost, mySQLPort, mySQLUsername, mySQLPassword e mySQLDatabase.

Sicurezza e password 

La lunghezza minima della password è di 5 caratteri, la massima di 30. I caratteri consentiti sono definiti dal regex allowedPasswordCharacters, per impostazione predefinita [!-~] — tutti i caratteri ASCII visibili. 

L'algoritmo di hashing predefinito è SHA256. Sono supportati BCRYPT, PBKDF2, ARGON2, nonché gli hash dei motori per forum — PHPBB, MYBB, XENFORO, WORDPRESS e altri. Cambiando algoritmo, le vecchie password vengono trasferite tramite legacyHashes — il plugin ricalcola automaticamente l'hash all'accesso

Il captcha si attiva dopo 5 tentativi di accesso falliti, ma è disattivato per impostazione predefinita. Anche il ban temporaneo dell'IP dopo 10 tentativi falliti è disattivato per impostazione predefinita — la durata, quando è attivo, è di 480 minuti. 

Registrazione  

Il tipo di registrazione predefinito è PASSWORD: il giocatore indica lui stesso la password due volte. La seconda opzione è EMAIL: il sistema genera una password e la invia per email. Per il recupero via email si configura l'SMTP tramite la sezione Email — per impostazione predefinita è indicato smtp.gmail.com porta 465.

Le sessioni sono disattivate per impostazione predefinita. Quando sono attivate (settings.sessions.enabled: true), un giocatore che entra dallo stesso IP entro 10 minuti viene autenticato automaticamente.

Comandi 

Tutti i comandi del plugin si dividono in due livelli: i comandi del giocatore per la registrazione e la gestione del proprio account, e i comandi amministrativi /authme per gestire gli account degli altri giocatori dalla console o con i permessi di amministratore tramite la chat. 

Comandi del giocatore 

Comandi amministrativi

Conclusione 

AuthMeReloaded non consente di giocare finché il giocatore non ha completato l'autenticazione. Protegge inoltre dal furto del nickname. La configurazione copre praticamente qualsiasi scenario: da un semplice server SQLite a una rete multiserver con MySQL e integrazione con i forum. La maggior parte delle funzioni di protezione è disattivata per impostazione predefinita — captcha, ban temporaneo, protezione per paese — e si attiva all'occorrenza.