公開コミュニティにおけるセキュリティとかのお話。

2023年11月22日 21:30

はじめに

自分はこのインターネットという大海原で新しいMinecraftサーバーを作成・公開しようとしている三日坊主もいいところな飽き性の猫なのだ。

今リアルタイムでやってるプロジェクト(?)
The Pixel Nation'sについて興味を持ったのならここにアクセスして概要を見てみるのだ！

これはこの記事を書くほんとに数日前のお話。
The Pixel Nation'sの運営チームがプレ公開として仮に公開しているDiscordサーバーで起こった実際のお話。

とある日の昼、猫さんがお昼寝をしようとしたときにDiscordのサーバーから珍しく通知が入っていたことに気付いたのさ。
※このプレ公開中のサーバーは現在数人程度しか入っていない状況。

猫さんも暇だったし確認をすると、その時導入していた認証BOT「Double Counter」について認証パネルが消えただ認証ができないだで、ユーザーがわーわー言うていたのさ。
猫さんとりあえず認証パネルが消えてるのはまずいと思って認証パネルを再生成
※のちに別の運営が誤って消したことが判明

ただ、とあるユーザー一人だけは一向に出来ない、出来ないんだ！と騒いでいたのさ。

何で騒いでるのかと聞いてみると、
「前に他のサーバーで認証した別垢の情報が残っているためか認証することができない！」
というのだった。

たしかにその時のDouble Counterの設定ではグローバルな範囲でAlt Account(所謂：別垢)の情報を収集し、認証の有無を判断していた。

猫さんは、まぁ、サブ垢の１つや２つ持っててもおかしくはないか。と思って、Alt Accountの検索範囲をグローバルからローカル(サーバー内)に変更しますた。
そいたら、

「出来ません！！」

よし、BANや。と思った矢先、ワーワー喚いてた垢だけログアウトしていきました。

その後調べていくと、似たような時刻に入っていた"SLBM"とかいう、名前からして物騒なアカウントが他の鯖で荒らしをしていたらしく、今回喚いてた人はslbmの別垢だったというわけです。

Deleted Userとなってないあたり他のところでもやりそうですね….
(((もしかしたら抜けた後じゃそうならないだけかも

現在のところやっている対策としては、

だけなのですが、今後はもしかすると

の2重認証方式に変えるかもしれません….

え？なんでメールアドレスを取るのかって？

Discord IDと紐づけてどこかに保存して、Minecraft鯖で荒らしがあればそのメールアドレスと、サーバーログに残るIPから開示請求して………

できるか知らんけど。

ただ、これするとユーザー視点で見れば、

ただプレイしようとしてるだけなのに、なんでここまでやらないといけないの？

っていう意見が出てきそうですよねぇ….

特にこのあたりに関しては権限付きになってしまうので、特に気をつけて雇用等していくつもりです。

以下、権限付きユーザーの面接時に行う事一覧です。

DoubleCounterは、現在一般ユーザーのみというかなりファンキーな利用をしていたのですが、今回の事件以降、運営の方でも利用していきたいと思っております。。。

あとの部分に関してはもう、言わずもがなって感じですね。はい。

Pixel-Nation'sはいつでも君のことを待ってるよ((((

じゃなくて、、、

しっかり、信頼できる情報をもとに判断できるようになろう。。。。

Discord

Web Site

配信場所

たまに猫さん配信してます。

この記事が気に入ったらサポートをしてみませんか？