Authentication Manager (3.3.2)
Chỉ cần một tài khoản quản trị bị chiếm là máy chủ của bạn có thể bị phá hủy trong vài giây. Khi đó, việc xác minh danh tính của thành viên mỗi lần họ cần truy cập một vai trò nhạy cảm trở nên không thể thiếu. Authentification Manager lấp đầy lỗ hổng thực sự này của Discord.
❓ Vấn đề
Một tài khoản quản trị bị chiếm. Chỉ trong vài giây: cấm hàng loạt, kênh bị xóa, dữ liệu bị lộ. Và ngay cả khi 2FA của Discord đã được bật, một token bị đánh cắp bởi mã độc hoặc một trang phishing là đủ để vượt qua lớp bảo vệ này: kẻ tấn công đã đăng nhập sẵn, 2FA không bao giờ được yêu cầu với hắn.
Discord không cung cấp bất kỳ cơ chế nào để xác minh ai thực sự đứng sau một vai trò có quyền hạn nhạy cảm. Bất kỳ ai có quyền truy cập vào tài khoản đều có thể hành động với toàn quyền mà không gì ngăn cản được.
Chỉ một kênh bị xóa do tài khoản quản trị bị hack cũng đã là quá nhiều.
🔐 Giải pháp: Authentication Manager
Với Authentication Manager (AM), các vai trò có quyền hạn nhạy cảm không còn được gán vĩnh viễn, chúng chỉ được gán sau một lớp xác thực bổ sung. Kết hợp với các phiên tạm thời tự động hết hạn, khoảng thời gian bị phơi nhiễm được giảm đáng kể: các vai trò được tự động gỡ khi phiên kết thúc.
Ngay cả khi kẻ tấn công đánh cắp được một tài khoản Discord, hắn cũng không thể sử dụng các quyền hạn mang tính phá hoại của máy chủ: vai trò đơn giản là không có ở đó, và để có được nó cần một bước xác thực mà hắn không có.
✨ Bao gồm những gì
🛡️ 4 phương thức xác thực
| Phương thức | Mô tả | Cấp |
|---|---|---|
| PIN đơn giản | Nhập thông thường từ 4 đến 12 chữ số | E đến D |
| PIN tăng cường | Bàn phím số với bố cục ngẫu nhiên, từ 6 đến 12 chữ số | C đến B |
| OTP (2FA) | Mã tạm thời 6 chữ số qua Google Authenticator, Authy, 1Password... | A |
| Passkey (WebAuthn) | Vân tay, nhận diện khuôn mặt hoặc khóa vật lý (YubiKey) | S |
🔑 Cấp bảo mật
Mỗi phương thức tương ứng với một cấp (E đến S). Bạn chọn cấp tối thiểu yêu cầu cho từng vai trò: một quyền truy cập nội bộ có thể chỉ cần PIN, còn một vai trò quản trị sẽ đòi hỏi passkey.
⏱️ Phiên tạm thời
Các vai trò không còn là vĩnh viễn. Mỗi lần xác thực mở ra một phiên có thời hạn giới hạn (có thể cấu hình tối đa 8 giờ). Khi hết hạn, vai trò được tự động gỡ.
⚙️ Hệ thống người quản lý
Trao quyền quản trị cho một thành viên mà họ không thể động chạm đến hệ thống xác thực. Bản thân người quản lý cũng phải xác thực và chỉ có thể quản lý các vai trò thấp hơn mức trần của họ, giúp ngăn chặn việc tạo backdoor và leo thang đặc quyền.
📋 Nhật ký kiểm tra và phiên
Mỗi lần xác thực, gán vai trò và hành động đều được ghi lại trực tiếp trong bot. Không giống nhật ký của Discord, không ai có thể xóa chúng: ngay cả một quản trị viên bị chiếm tài khoản cũng không thể xóa dấu vết của mình.
🚫 Bảo vệ chống brute-force
5 lần thất bại: khóa một giờ. 10 lần thất bại: đặt lại hoàn toàn tài khoản.
Để xem danh sách đầy đủ các điểm mới của 3.3.2, hãy xem nhật ký thay đổi.