Authentication Manager (3.3.2)
Ele geçirilmiş tek bir yönetici hesabı, sunucunuzun saniyeler içinde yok edilmesine yeter. Bu yüzden üyelerin hassas bir role her erişmeleri gerektiğinde kimliklerini doğrulamak vazgeçilmez hale geliyor. Authentification Manager, Discord'daki bu gerçek eksikliği gideriyor.
❓ Sorun
Bir yönetici hesabı ele geçiriliyor. Birkaç saniye içinde: toplu yasaklama, silinen kanallar, açığa çıkan veriler. Discord'un 2FA'sı etkin olsa bile, bir kötü amaçlı yazılım veya oltalama sayfasıyla çalınan bir token bu korumayı atlatmaya yeter: saldırgan zaten oturum açmıştır, ondan hiçbir zaman 2FA istenmez.
Discord, hassas izinlere sahip bir rolün arkasında gerçekte kimin olduğunu doğrulamak için hiçbir mekanizma sunmuyor. Hesaba erişimi olan herkes, hiçbir engelle karşılaşmadan tam yetkiyle hareket edebilir.
Bir yönetici hesabının hacklenmesiyle silinen tek bir kanal bile fazladır.
🔐 Çözüm: Authentication Manager
Authentication Manager (AM) ile hassas izinlere sahip roller artık kalıcı olarak verilmiyor; yalnızca ek bir kimlik doğrulama katmanından sonra veriliyor. Otomatik olarak sona eren geçici oturumlarla birleştiğinde, açıkta kalma süresi büyük ölçüde azalıyor: roller oturumun sonunda otomatik olarak geri alınıyor.
Bir saldırgan bir Discord hesabını çalsa bile sunucunun yıkıcı izinlerini kullanamaz: rol orada değildir ve onu elde etmek, saldırganın sahip olmadığı bir kimlik doğrulaması gerektirir.
✨ Neler içeriyor
🛡️ 4 kimlik doğrulama yöntemi
| Yöntem | Açıklama | Seviye |
|---|---|---|
| Basit PIN kodu | 4 ila 12 haneli klasik giriş | E ila D |
| Gözetlemeye karşı PIN kodu | Tuşları rastgele dizilen sayısal tuş takımı, 6 ila 12 hane | C ila B |
| OTP (2FA) | Google Authenticator, Authy, 1Password... ile 6 haneli geçici kod | A |
| Passkey (WebAuthn) | Parmak izi, yüz tanıma veya fiziksel anahtar (YubiKey) | S |
🔑 Güvenlik seviyeleri
Her yöntem bir seviyeye (E ila S) karşılık gelir. Rol başına gereken minimum seviyeyi siz seçersiniz: dahili bir erişim için bir PIN yeterli olabilir, bir yönetici rolü ise passkey gerektirir.
⏱️ Geçici oturumlar
Roller artık kalıcı değil. Her kimlik doğrulama, süresi sınırlı bir oturum açar (8 saate kadar yapılandırılabilir). Süre dolduğunda rol otomatik olarak geri alınır.
⚙️ Manager sistemi
Bir üyeye, kimlik doğrulama sistemine dokunamayacağı şekilde yönetici izinleri verin. Manager'ların kendileri de kimlik doğrulaması yapmak zorundadır ve yalnızca tavanlarının altındaki rolleri yönetebilirler; bu da arka kapı oluşturulmasını ve yetki yükseltmeyi önler.
📋 Denetim logları ve oturumlar
Her kimlik doğrulama, rol verme ve eylem doğrudan botta kaydedilir. Discord loglarının aksine kimse bunları silemez: ele geçirilmiş bir yönetici bile izlerini silemez.
🚫 Kaba kuvvet saldırılarına karşı koruma
5 başarısız deneme: bir saatlik kilitlenme. 10 başarısız deneme: hesabın tamamen sıfırlanması.
3.3.2'nin yeniliklerinin tam listesi için değişiklik günlüğüne göz atın.