PasswordGate

PasswordGate

PasswordGate добавляет дополнительный этап парольной аутентификации на серверах Minecraft. Аутентификация проходит во время рукопожатия при входе — до того, как игрок попадёт в мир, получит чанки, появится в списке игроков или получит обычные игровые данные. Мод должен быть установлен и на клиенте, и на сервере Клиент без PasswordGate или с несовместимой версией протокола отклоняется во время входа, а не допускается в мир с последующим киком.

Возможности

• Аутентификация до создания ServerPlayer и входа в мир
• Безопасная регистрация пароля при первом входе
• Аутентификация challenge-response по SRP-6a
• 3072-битная группа SRP по RFC 5054 с SHA-256
• Свежий криптографический challenge для каждого подключения
• Пароль в открытом виде или переиспользуемый хеш пароля не передаётся
• Настраиваемый тайм-аут аутентификации
• Защита от брутфорса с учётом UUID и IP
• Временные блокировки и контролируемые задержки при неудаче
• Защита от некорректных, дублированных, вышедших из порядка и переигранных пакетов
• Атомарное, версионированное хранилище учётных данных сервера
• Поддержка выделенного и встроенного сервера

Экран пароля на клиенте

PasswordGate показывает отдельный экран пароля перед обычным экраном заголовка, когда нет доступных локальных учётных данных. Сгенерированные пароли используют SecureRandom, содержат заглавные и строчные буквы, цифры и безопасные специальные символы и обеспечивают не менее 128 бит энтропии при настройках по умолчанию.

Хранение пароля

В Windows PasswordGate генерирует случайный ключ AES-256, защищает его с помощью Windows DPAPI и шифрует пароль с помощью AES-256-GCM, используя новый nonce при каждой записи. Файлы заменяются атомарно. Никаких запасных вариантов с открытым текстом, только Base64, XOR, статическим хешем или жёстко заданным ключом нет. Если безопасное хранилище на уровне ОС недоступно, PasswordGate запрашивает пароль заново, а не сохраняет его небезопасно молча. Сервер никогда не хранит исходный пароль. Он хранит только UUID игрока, уникальную соль, SRP-верификатор, версии формата и временные метки аутентификации.

Первый вход и офлайн-режим

Когда allowFirstJoinRegistration=true, игрок без существующей записи может зарегистрировать пароль во время рукопожатия при входе и должен сразу же пройти полное SRP-доказательство, прежде чем присоединиться. Регистрация также работает в офлайн-режиме, но UUID офлайн-режима можно подделать. PasswordGate записывает предупреждение в лог, поскольку мод не может сделать офлайн-идентичности Minecraft криптографически подлинными. По возможности используйте онлайн-режим.

Команды администратора

/passwordgate status <player>
/passwordgate reset <player>
/passwordgate revoke <player>
/passwordgate authorize <player>
/passwordgate reload

Команды никогда не отображают пароли, соли, верификаторы или доказательства аутентификации.

Конфигурация

Конфигурация сервера включает тайм-аут аутентификации, регистрацию при первом входе, минимальную длину пароля, длину генерируемого пароля, лимиты неудачных попыток, окна неудач и длительность временной блокировки.

Замечания по безопасности

PasswordGate защищает процесс входа от раскрытия пароля в открытом виде, пассивного повтора, повтора переиспользуемого доказательства, некорректных пакетов и базовых попыток онлайн-брутфорса. Он не может защитить скомпрометированный клиентский компьютер, украденную разблокированную учётную запись операционной системы или аутентифицировать идентичности, предоставляемые офлайн-режимом Minecraft. PasswordGate предназначен как дополнительный слой аутентификации и не заменяет обычную безопасность учётной записи Minecraft, контроль доступа к серверу, резервные копии или безопасность операционной системы.