Recherche

Forum Général » Discussions sur Dreadcast

Sécurité du compte

Créé par Mr_N le 30 Juin 2021 à 15:04

Visible par tout le monde
Miraz Posté le 01 Juillet 2021 à 10:26 #21
Avatar
Bon vivant
Compte Premium
Voir mon EDC
L-X a écrit :
Petite note annexe concernant la sécurisation de compte en dehors de la suppression : évitez s'il vous plait, les mails de confirmation réguliers pour vérifier si l'adresse est toujours bonne : certains ont créé leurs comptes il y a 10 ans + et n'ont plus accès à l'adresse email d'origine!

Faire en sorte de pouvoir tenir son compte a jour avec des information correct.

Parce que la sécurité passera forcement par la boite mail. Sans accès a la boite mail d'origine du compte, la sécurité sera forcement complexe. Sans compter la demande de changement de mots de passe !

A mon avis, la meilleure sécurité que l'ont puisse mettre en place est le deux facteurs :
-> 1ere connexion : Mot de passe + Code envoyé par SMS (ou mail si SMS trop couteux) pour connecter. A la connexion, enregistrer l'IP et le navigateur (et l'OS ?) utilisé avec un bouton se fier pour éviter d'avoir le 2 facteurs a chaque connexion au jeu (ce qui serait terriblement chiant ^^)

-> Si une connexion est effectuée depuis un autre appareil/navigateur, refaire une demande de connexion à deux facteurs. Sinon, laisser le joueur accéder a son compte a l'aide du simple mot de passe.

Je l'avais monté sur un site de diffusion, ça fonctionne bien, ça sécurise... tout en évitant les contraintes de connexion^2 facteurs constante à chaque clic sur le bouton se connecter. ^^
Ozlem Posté le 01 Juillet 2021 à 11:45 #22
Avatar
Rebelle
Compte Premium
Voir mon EDC
Je fais juste une petite remarque : des vérifications comme mentionnées à chaque connexion ça va être terriblement lourd, vu le nombre de fois où on est déco, ou on doit déco/reco.

Si à chaque fois, on doit reçevoir un sms ou que sais-je, vu le code défectueux de DC qui nous oblige à régulièrement nous déconnecter pour nous reconnecter ( parce que personnellement, pour moi refresh ça prend trop de temps, la page d'accueil de connexion mouline plus d'une minute parfois avant d'être reconnectée, et une fois sur trois, c'est sur une interface buggée, donc je préfère déconnecter/reconnecter) ça va être un truc à se taper la tête dans le mur.
Izaline Posté le 01 Juillet 2021 à 12:29 #23
Avatar
Citoyen (très).
Compte Premium
Voir mon EDC
Comme la question de base portait , sur la sécurité du compte en vue de protégé celui ci d'un tiers qui se permettrais de delete un compte joueur par malveillance .

Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.

De ce défaire de la possibilité via le compte joueur "suppression " .

C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.
Ozlem Posté le 01 Juillet 2021 à 12:32 #24
Avatar
Rebelle
Compte Premium
Voir mon EDC
Il y a déjà possibilité d'écrire un mot pour expliquer la raison du delete, ou même des options à cocher.

Izaline Posté le 01 Juillet 2021 à 12:34 #25
Avatar
Citoyen (très).
Compte Premium
Voir mon EDC
Si malveillance il y a , il rédigeras ce qu'il veux et supprimeras malgré tout.
Miraz Posté le 01 Juillet 2021 à 12:55 #26
Avatar
Bon vivant
Compte Premium
Voir mon EDC
Izaline a écrit :
Comme la question de base portait , sur la sécurité du compte en vue de protégé celui ci d'un tiers qui se permettrais de delete un compte joueur par malveillance .

Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.

De ce défaire de la possibilité via le compte joueur "suppression " .

C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.


C'est illégal !
Selon la loi du GDRP, loi européenne, un utilisateur doit pouvoir demander une copie, modification ou suppression de ses données tout aussi facilement qu'il les a fournis à la création du compte.
Donc retirer la possibilité de suppression du compte n'est pas possible.
Une demande de suppression depuis un compte directement en se connectant avec un mot de passe est considéré comme une action valide et légitime.
Il faut donc sécuriser les comptes. La solution du deux facteurs et la plus répandu aujourd'hui, il en existe d'autres aussi.

La solution du navigateur de confiance est a mon avis la meilleure solution pour éviter la connexion à double facteur a chaque deco/reco.
Exa Posté le 01 Juillet 2021 à 13:17 #27
Avatar
Enfant de Colli.
Compte Premium
Voir mon EDC
Miraz a écrit :

Selon la loi du GDRP, loi européenne

*RGPD (Règlement Général sur la Protection des Données)

Et, si, retirer l'option de supprimer son compte est possible, légale, et respecte le RGPD, du moment qu'il y a une possibilité de faire supprimer ses données via un contact avec jdr dev (mail, courrier AR, etc) en le demandant explicitement. Ce qui est le cas ici.

Mais, le soucis, c'est que ça augmente la charge de travail, c'est bien pour ça que c'est très peu employé. Et à ne pas employer sur DC, où la charge de travail est déjà énorme, d'où des délais monstre pour les tickets.

Une confirmation de suppression par mail/sms ou un timer avant la suppression, c'est le plus simple à faire, et qui ne génère pas de charge de travail supplémentaire.
Exa
Lorkah Posté le 01 Juillet 2021 à 14:03 #28
Avatar
Lord Von-Storm
Compte Joueur
Voir mon EDC
Mr_N a écrit :
- La restriction d'accès par IP, je suis pas tellement chaud. Ça signifie que tu vas devoir te double authentifier dès que tu vas passer d'un ordi à un téléphone ou à l'ordinateur du boulot, sans compter que beaucoup d'entre nous ne sommes pas en IP fixe, donc à chaque fois que la box décide que tu changes d'IP tu te retrouves à devoir te réauthentifier. Pas très friendly !


La notion d'ip connues existe, à voir si ça passe par aussi par les cookies ?
Lorsque je me connecte à Gmail par exemple, j'ai pas à me ré-authentifier via sms à chaque vois que je vais sur mon pc du bureau ou sur mon téléphone, puis de retour à la maison le soir.
Ces IP sont connues de google comme étant légitimes à accéder à mon compte.

Il est tout à fait possible à chaque autorisation d'ip de dire "Ip ok pour tel compte, tant de temps"

Ce type de MFA serait déjà un énorme mur de protection qui pourrait éviter qu'un tiers se connecte à mon compte sans que je le sache.
C'est surtout ça dont ont veut se prémunir dans ce cas précis.

Mr_N a écrit :
- Un compte pour tous nos personnages : une idée excellente que je plussoie. Y a looongtemps ça a été envisagé et débuté, mais comme beaucoup de projet de cette époque là, c'est pas allez au bout. Peut-être un jour.

Bon courage. smiley
Du fun ? Par ici
Exa Posté le 01 Juillet 2021 à 14:41 #29
Avatar
Enfant de Colli.
Compte Premium
Voir mon EDC
Lorkah a écrit :
La notion d'ip connues existe, à voir si ça passe par aussi par les cookies ?

Tout ce qui est cookie, c'est à éviter. Le cookie de DC est déjà affreusement rempli, c'est une aberration. Et comme le cookie est envoyé à chaque requête, ça dégomme le trafic.

Le plus simple est une whitelist d'ip directement sur le seveur, ce qui évite de surcharger la bdd. Et vu que du node est en train d'être déployé, passer par le bundle 'fs' permet ça très très facilement.
Exa
Mr_N Posté le 01 Juillet 2021 à 15:57 #30
Avatar
Cauchemar
Administrateur
Voir mon EDC
On va laisser de côté les questions de RGPD, c'est pas le sujet.

La RGPD concerne vos données personnelles, qui vous concerne vous personne humaine et identifiable. Les données de vos personnages, c'est pas des données personnelles. En revanche vous pouvez très bien demander à faire supprimer votre adresse IP, votre adresse mail, ...

Là on ne parle pas de ça. Et puis je suis d'accord sur : on ne va pas rajouter une tâche aux admins (allez savoir pourquoi).

Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps smiley
Ina Posté le 01 Juillet 2021 à 16:07 #31
Avatar
Chiropraticienne
Compte Premium
Voir mon EDC
Mr_N a écrit :

Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps smiley


Ça marche, j'ai changé la mienne la semaine dernière.
"01001100 01100001 00100000 01100011 01110101 01110010 01101001 01101111 01110011 01101001 01110100 11101001 00100000 01100101 01110011 01110100 00100000 01110101 01101110 00100000 01110110 01101001 01101100 01100001 01101001 01101110 00100000 01100100 11101001 01100110 01100001 01110101 01110100 00100000 ."
Lorkah Posté le 01 Juillet 2021 à 16:17 #32
Avatar
Lord Von-Storm
Compte Joueur
Voir mon EDC
ça marche bien, je confirme.
MAIS! Si on se souvient plus du mail qui sert de login, c'est charette. smiley
Du fun ? Par ici
Charon Posté le 01 Juillet 2021 à 16:30 #33
Avatar
rm -rf /
Compte Joueur
Voir mon EDC
Une question secrète ça peut être bien aussi, ça fait un genre de second mot de passe qui ne sert que pour les cas sensibles (changer l'email ou supprimer le compte).

Après on aura toujours le soucis de si les gens oublient/perdent l'email, la question, leur mdp, etc, et hormis la double authentification/délais y'a pas grand chose de "bien"
Aoi Posté le 10 Juillet 2021 à 18:06 #34
Avatar
-
Compte Joueur
Voir mon EDC
Je déterre un peu mais ..

Forcer l'utilisation d'un mot de passe fort à l'inscription ?
(avec X caractère + majuscule + minuscules + caractères spéciaux)

Car aujourd'hui on peut utiliser un mdp comme "toto01"..

Au niveau dev, c'est -généralement- assez rapide à mettre en place de ce que j'ai pu en voir.

Ce n'est pas rétroactif sur les comptes existants, mais en tant que première mesure sécurité en tout cas ca ne me paraît pas de trop.
Exa Posté le 10 Juillet 2021 à 18:24 #35
Avatar
Enfant de Colli.
Compte Premium
Voir mon EDC
Ça prend cinq minutes à mettre en place. Une regex pour la validation de l'user en back et une regex en front.

Après, même si cette méthode est très utilisée, à raison, ça montre que les utilisateurs sont majoritairement des idiots. Car sans ça, ils prendraient des mot des passes à la con (azerty et 1234 étant parmi les plus utilisés sur le web...).

Mais, quitte à faire une telle validation, il faut utiliser de vrais mots de passe forts.
"Azerty1234", qui a pourtant une lettre, un chiffre et une minuscule, se fait craquer en moins de deux.
"Les cons, ça ose tout ! C'est même à ça qu'on les reconnaît." est un mot de passe beaucoup plus fort, gênant beaucoup le brute-force par sa longueur. Mais une simple attaque dictionnaire le fait passer (même si ça prend beaucoup de temps, car ce sont des mots existants).
Un vrai bon mot de passe, ce serait ça par exemple : "32lL(Eàr'./0PF5e)3éfdi@". Non seulement, ç'est safe pour le brut force, mais aussi pour les autres attaques.

Mais pour s'en souvenir, c'est coton. C'est pour ça que KPM, Keepass et tant d'autres logiciels sécurisés existent.
Exa
Haz Posté le 11 Juillet 2021 à 10:10 #36
Avatar
Fermez la porte.
Compte Joueur
Voir mon EDC
Le timer de suppression.

Et plusieurs persos sur le compte originel. Ca éviterai les différentes adresses mails. J'ai 5 persos dans la nature y comprit Hazel. Je suis sûre que je me rappelle pas de 4 mdp des adresses mails.