Forum Général » Discussions sur Dreadcast
Sécurité du compte
Créé par Mr_N le 30 Juin 2021 à 15:04
Page 2/2 |
Visible par tout le monde
News — MAJ 4.11
Miraz~73603
Posté le 01 Juillet 2021 à 10:26
#21
L-X a écrit :
Petite note annexe concernant la sécurisation de compte en dehors de la suppression : évitez s'il vous plait, les mails de confirmation réguliers pour vérifier si l'adresse est toujours bonne : certains ont créé leurs comptes il y a 10 ans + et n'ont plus accès à l'adresse email d'origine!
Petite note annexe concernant la sécurisation de compte en dehors de la suppression : évitez s'il vous plait, les mails de confirmation réguliers pour vérifier si l'adresse est toujours bonne : certains ont créé leurs comptes il y a 10 ans + et n'ont plus accès à l'adresse email d'origine!
Faire en sorte de pouvoir tenir son compte a jour avec des information correct.
Parce que la sécurité passera forcement par la boite mail. Sans accès a la boite mail d'origine du compte, la sécurité sera forcement complexe. Sans compter la demande de changement de mots de passe !
A mon avis, la meilleure sécurité que l'ont puisse mettre en place est le deux facteurs :
-> 1ere connexion : Mot de passe + Code envoyé par SMS (ou mail si SMS trop couteux) pour connecter. A la connexion, enregistrer l'IP et le navigateur (et l'OS ?) utilisé avec un bouton se fier pour éviter d'avoir le 2 facteurs a chaque connexion au jeu (ce qui serait terriblement chiant ^^)
-> Si une connexion est effectuée depuis un autre appareil/navigateur, refaire une demande de connexion à deux facteurs. Sinon, laisser le joueur accéder a son compte a l'aide du simple mot de passe.
Je l'avais monté sur un site de diffusion, ça fonctionne bien, ça sécurise... tout en évitant les contraintes de connexion^2 facteurs constante à chaque clic sur le bouton se connecter. ^^
Zolem
Posté le 01 Juillet 2021 à 11:45
#22
Je fais juste une petite remarque : des vérifications comme mentionnées à chaque connexion ça va être terriblement lourd, vu le nombre de fois où on est déco, ou on doit déco/reco.
Si à chaque fois, on doit reçevoir un sms ou que sais-je, vu le code défectueux de DC qui nous oblige à régulièrement nous déconnecter pour nous reconnecter ( parce que personnellement, pour moi refresh ça prend trop de temps, la page d'accueil de connexion mouline plus d'une minute parfois avant d'être reconnectée, et une fois sur trois, c'est sur une interface buggée, donc je préfère déconnecter/reconnecter) ça va être un truc à se taper la tête dans le mur.
Si à chaque fois, on doit reçevoir un sms ou que sais-je, vu le code défectueux de DC qui nous oblige à régulièrement nous déconnecter pour nous reconnecter ( parce que personnellement, pour moi refresh ça prend trop de temps, la page d'accueil de connexion mouline plus d'une minute parfois avant d'être reconnectée, et une fois sur trois, c'est sur une interface buggée, donc je préfère déconnecter/reconnecter) ça va être un truc à se taper la tête dans le mur.
*
Izaline
Posté le 01 Juillet 2021 à 12:29
#23
Comme la question de base portait , sur la sécurité du compte en vue de protégé celui ci d'un tiers qui se permettrais de delete un compte joueur par malveillance .
Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.
De ce défaire de la possibilité via le compte joueur "suppression " .
C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.
Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.
De ce défaire de la possibilité via le compte joueur "suppression " .
C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.
Zolem
Posté le 01 Juillet 2021 à 12:32
#24
Il y a déjà possibilité d'écrire un mot pour expliquer la raison du delete, ou même des options à cocher.
*
Izaline
Posté le 01 Juillet 2021 à 12:34
#25
Si malveillance il y a , il rédigeras ce qu'il veux et supprimeras malgré tout.
Miraz~73603
Posté le 01 Juillet 2021 à 12:55
#26
Izaline a écrit :
Comme la question de base portait , sur la sécurité du compte en vue de protégé celui ci d'un tiers qui se permettrais de delete un compte joueur par malveillance .
Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.
De ce défaire de la possibilité via le compte joueur "suppression " .
C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.
Comme la question de base portait , sur la sécurité du compte en vue de protégé celui ci d'un tiers qui se permettrais de delete un compte joueur par malveillance .
Je suggérais sans multiplier la charge administrative , et nos alertes via mails , sms et autres suggestions de cet ordre .J'approuve Ozlem entre autres.
De ce défaire de la possibilité via le compte joueur "suppression " .
C'est banal , moins radical et un ticket où message , fp admin si raison , où explication a fournir pour un suppression réelle.
C'est illégal !
Selon la loi du GDRP, loi européenne, un utilisateur doit pouvoir demander une copie, modification ou suppression de ses données tout aussi facilement qu'il les a fournis à la création du compte.
Donc retirer la possibilité de suppression du compte n'est pas possible.
Une demande de suppression depuis un compte directement en se connectant avec un mot de passe est considéré comme une action valide et légitime.
Il faut donc sécuriser les comptes. La solution du deux facteurs et la plus répandu aujourd'hui, il en existe d'autres aussi.
La solution du navigateur de confiance est a mon avis la meilleure solution pour éviter la connexion à double facteur a chaque deco/reco.
Exa
Posté le 01 Juillet 2021 à 13:17
#27
Miraz a écrit :
Selon la loi du GDRP, loi européenne
Selon la loi du GDRP, loi européenne
*RGPD (Règlement Général sur la Protection des Données)
Et, si, retirer l'option de supprimer son compte est possible, légale, et respecte le RGPD, du moment qu'il y a une possibilité de faire supprimer ses données via un contact avec jdr dev (mail, courrier AR, etc) en le demandant explicitement. Ce qui est le cas ici.
Mais, le soucis, c'est que ça augmente la charge de travail, c'est bien pour ça que c'est très peu employé. Et à ne pas employer sur DC, où la charge de travail est déjà énorme, d'où des délais monstre pour les tickets.
Une confirmation de suppression par mail/sms ou un timer avant la suppression, c'est le plus simple à faire, et qui ne génère pas de charge de travail supplémentaire.
Exa
Lorkah
Posté le 01 Juillet 2021 à 14:03
#28
Mr_N a écrit :
- La restriction d'accès par IP, je suis pas tellement chaud. Ça signifie que tu vas devoir te double authentifier dès que tu vas passer d'un ordi à un téléphone ou à l'ordinateur du boulot, sans compter que beaucoup d'entre nous ne sommes pas en IP fixe, donc à chaque fois que la box décide que tu changes d'IP tu te retrouves à devoir te réauthentifier. Pas très friendly !
- La restriction d'accès par IP, je suis pas tellement chaud. Ça signifie que tu vas devoir te double authentifier dès que tu vas passer d'un ordi à un téléphone ou à l'ordinateur du boulot, sans compter que beaucoup d'entre nous ne sommes pas en IP fixe, donc à chaque fois que la box décide que tu changes d'IP tu te retrouves à devoir te réauthentifier. Pas très friendly !
La notion d'ip connues existe, à voir si ça passe par aussi par les cookies ?
Lorsque je me connecte à Gmail par exemple, j'ai pas à me ré-authentifier via sms à chaque vois que je vais sur mon pc du bureau ou sur mon téléphone, puis de retour à la maison le soir.
Ces IP sont connues de google comme étant légitimes à accéder à mon compte.
Il est tout à fait possible à chaque autorisation d'ip de dire "Ip ok pour tel compte, tant de temps"
Ce type de MFA serait déjà un énorme mur de protection qui pourrait éviter qu'un tiers se connecte à mon compte sans que je le sache.
C'est surtout ça dont ont veut se prémunir dans ce cas précis.
Mr_N a écrit :
- Un compte pour tous nos personnages : une idée excellente que je plussoie. Y a looongtemps ça a été envisagé et débuté, mais comme beaucoup de projet de cette époque là, c'est pas allez au bout. Peut-être un jour.
- Un compte pour tous nos personnages : une idée excellente que je plussoie. Y a looongtemps ça a été envisagé et débuté, mais comme beaucoup de projet de cette époque là, c'est pas allez au bout. Peut-être un jour.
Bon courage.
Exa
Posté le 01 Juillet 2021 à 14:41
#29
Lorkah a écrit :
La notion d'ip connues existe, à voir si ça passe par aussi par les cookies ?
La notion d'ip connues existe, à voir si ça passe par aussi par les cookies ?
Tout ce qui est cookie, c'est à éviter. Le cookie de DC est déjà affreusement rempli, c'est une aberration. Et comme le cookie est envoyé à chaque requête, ça dégomme le trafic.
Le plus simple est une whitelist d'ip directement sur le seveur, ce qui évite de surcharger la bdd. Et vu que du node est en train d'être déployé, passer par le bundle 'fs' permet ça très très facilement.
Exa
Mr_N
Posté le 01 Juillet 2021 à 15:57
#30
On va laisser de côté les questions de RGPD, c'est pas le sujet.
La RGPD concerne vos données personnelles, qui vous concerne vous personne humaine et identifiable. Les données de vos personnages, c'est pas des données personnelles. En revanche vous pouvez très bien demander à faire supprimer votre adresse IP, votre adresse mail, ...
Là on ne parle pas de ça. Et puis je suis d'accord sur : on ne va pas rajouter une tâche aux admins (allez savoir pourquoi).
Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps
La RGPD concerne vos données personnelles, qui vous concerne vous personne humaine et identifiable. Les données de vos personnages, c'est pas des données personnelles. En revanche vous pouvez très bien demander à faire supprimer votre adresse IP, votre adresse mail, ...
Là on ne parle pas de ça. Et puis je suis d'accord sur : on ne va pas rajouter une tâche aux admins (allez savoir pourquoi).
Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps
Ina~72547
Posté le 01 Juillet 2021 à 16:07
#31
Mr_N a écrit :
Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps
Et concernant les adresses mails perdues, vous devez bien pouvoir mettre à jour votre adresse mail, non ? J'ai pas essayer mais l'option existe dans le menu. Donc soit c'est cassé et faut me dire, soit ça marche et faut se mettre un petit peu à jour de temps en temps
Ça marche, j'ai changé la mienne la semaine dernière.
Lorkah
Posté le 01 Juillet 2021 à 16:17
#32
ça marche bien, je confirme.
MAIS! Si on se souvient plus du mail qui sert de login, c'est charette.
MAIS! Si on se souvient plus du mail qui sert de login, c'est charette.
Charon~67438
Posté le 01 Juillet 2021 à 16:30
#33
Une question secrète ça peut être bien aussi, ça fait un genre de second mot de passe qui ne sert que pour les cas sensibles (changer l'email ou supprimer le compte).
Après on aura toujours le soucis de si les gens oublient/perdent l'email, la question, leur mdp, etc, et hormis la double authentification/délais y'a pas grand chose de "bien"
Après on aura toujours le soucis de si les gens oublient/perdent l'email, la question, leur mdp, etc, et hormis la double authentification/délais y'a pas grand chose de "bien"
Aoi~73209
Posté le 10 Juillet 2021 à 18:06
#34
Je déterre un peu mais ..
Forcer l'utilisation d'un mot de passe fort à l'inscription ?
(avec X caractère + majuscule + minuscules + caractères spéciaux)
Car aujourd'hui on peut utiliser un mdp comme "toto01"..
Au niveau dev, c'est -généralement- assez rapide à mettre en place de ce que j'ai pu en voir.
Ce n'est pas rétroactif sur les comptes existants, mais en tant que première mesure sécurité en tout cas ca ne me paraît pas de trop.
Forcer l'utilisation d'un mot de passe fort à l'inscription ?
(avec X caractère + majuscule + minuscules + caractères spéciaux)
Car aujourd'hui on peut utiliser un mdp comme "toto01"..
Au niveau dev, c'est -généralement- assez rapide à mettre en place de ce que j'ai pu en voir.
Ce n'est pas rétroactif sur les comptes existants, mais en tant que première mesure sécurité en tout cas ca ne me paraît pas de trop.
Exa
Posté le 10 Juillet 2021 à 18:24
#35
Ça prend cinq minutes à mettre en place. Une regex pour la validation de l'user en back et une regex en front.
Après, même si cette méthode est très utilisée, à raison, ça montre que les utilisateurs sont majoritairement des idiots. Car sans ça, ils prendraient des mot des passes à la con (azerty et 1234 étant parmi les plus utilisés sur le web...).
Mais, quitte à faire une telle validation, il faut utiliser de vrais mots de passe forts.
"Azerty1234", qui a pourtant une lettre, un chiffre et une minuscule, se fait craquer en moins de deux.
"Les cons, ça ose tout ! C'est même à ça qu'on les reconnaît." est un mot de passe beaucoup plus fort, gênant beaucoup le brute-force par sa longueur. Mais une simple attaque dictionnaire le fait passer (même si ça prend beaucoup de temps, car ce sont des mots existants).
Un vrai bon mot de passe, ce serait ça par exemple : "32lL(Eàr'./0PF5e)3éfdi@". Non seulement, ç'est safe pour le brut force, mais aussi pour les autres attaques.
Mais pour s'en souvenir, c'est coton. C'est pour ça que KPM, Keepass et tant d'autres logiciels sécurisés existent.
Après, même si cette méthode est très utilisée, à raison, ça montre que les utilisateurs sont majoritairement des idiots. Car sans ça, ils prendraient des mot des passes à la con (azerty et 1234 étant parmi les plus utilisés sur le web...).
Mais, quitte à faire une telle validation, il faut utiliser de vrais mots de passe forts.
"Azerty1234", qui a pourtant une lettre, un chiffre et une minuscule, se fait craquer en moins de deux.
"Les cons, ça ose tout ! C'est même à ça qu'on les reconnaît." est un mot de passe beaucoup plus fort, gênant beaucoup le brute-force par sa longueur. Mais une simple attaque dictionnaire le fait passer (même si ça prend beaucoup de temps, car ce sont des mots existants).
Un vrai bon mot de passe, ce serait ça par exemple : "32lL(Eàr'./0PF5e)3éfdi@". Non seulement, ç'est safe pour le brut force, mais aussi pour les autres attaques.
Mais pour s'en souvenir, c'est coton. C'est pour ça que KPM, Keepass et tant d'autres logiciels sécurisés existent.
Exa
Hazel
Posté le 11 Juillet 2021 à 10:10
#36
Le timer de suppression.
Et plusieurs persos sur le compte originel. Ca éviterai les différentes adresses mails. J'ai 5 persos dans la nature y comprit Hazel. Je suis sûre que je me rappelle pas de 4 mdp des adresses mails.
Et plusieurs persos sur le compte originel. Ca éviterai les différentes adresses mails. J'ai 5 persos dans la nature y comprit Hazel. Je suis sûre que je me rappelle pas de 4 mdp des adresses mails.
