Metin2 biztonság: Hogyan védd meg a fiókodat, az idődet és az itemjeidet

A legtöbb Metin2 játékos azt gondolja, hogy a fiókok biztonsága mások problémája, amíg egy reggel nem jelentkezik be és azt találja, hogy a karaktere kifosztva, a yangjei eltűntek és a karakter törlésének időzítője fut. Ez az útmutató azt ismerteti, hogy valójában mi történik egy Metin2 fiók feltörésekor, milyen támadási felületet használnak valóban a támadók, és mely apró szokások blokkolják a fióktöréskísérletek 99%-át.

Miért érdemes megvédeni a Metin2 fiókokat

A játékosok alulbecsülik, hogy egy Metin2 fiók mennyire vonzó egy tolvaj számára. Egy két év fejlődésével rendelkező karakter egyetlen jelszó mögött áll, gyakran ugyanaz a jelszó, amelyet a játékos a Gaming Discord-hoz, az e-mailhez és tucatnyi más játékfiókhoz használ. Az itemek pénzügyi értéke valós: csúcsminőségű felszerelés, ritka jelmezek, Dragon Alchemy Stones és farmazott dungeon dropok minden aktív szerveren játékosok között valódi pénzért cserélnek. Egy támadó, aki egy fiókot feltör, egy óra alatt tíz és száz euró közötti értékű itemeket vihet el.

De nem csak az itemekről van szó. Egy feltört Metin2 fiók lépcsőfok a szélesebb digitális életedbe: a hozzá kötött e-mail, bármely Discord szerver, amelyre bejelentkeztél, jelszó-visszaállítási láncok a nem kapcsolódó szolgáltatásokhoz. Az az óra, amelyet nem töltöttél biztonsággal, heteket vehet igénybe a tisztítás során több tucat fiók között.

Mi történik valójában egy fiók ellopásakor

Egy tipikus Metin2 fióktöréskísérlet idősorai gyorsabbak, mint amit a legtöbb játékos gondol:

• 0-5. perc: a támadó bejelentkezik a kiszivárgott jelszóval, megváltoztatja a fiók jelszavát, néha a regisztrált e-mailt is, ha a szerver ezt megerősítés nélkül engedélyezi.
• 5-30. perc: az összes likvid item (felszerelés, yang, itemek, jelmezek, értékesíthető fogyóeszközök) egy mule fiókra kerülnek közvetlen csere, 1 yangos piactéri hirdetések vagy céhraktár dropok útján.
• 30-60. perc: a nagy értékű felszerelés kifosztásra kerül, néha megsemmisítésre, ha a támadó egy szabotázs munkát végez a lopás helyett.
• 1. óra és azon túl: a kiürített karaktert arra használják, hogy a barátlistádat átverje „kölcsönözz nekem X-et egy gyors futáshoz" üzenetekkel, hamis item-csere meghívásokkal, phishing linkekkel, amelyek privát DM-ben érkeznek, és egy megbízható személytől származónak tűnnek.

Mire észreveszed és kapcsolatba lépsz a támogatással, a nyom gyakran hideg. A legtöbb szerver admin csak szoros időablakban tudja visszaállítani az itemeket, és a forgalmas szervereken naponta több ilyen jelentést kezelnek. A tanulság: ne számíts a helyreállítás lehetőségére. Előzd meg a fióktöréskísérletet.

Hogyan kerülnek feltörésre a Metin2 fiókok

Jelszó újrafelhasználása és hitelesítési adatok feltörése

Ez az #1 módja annak, hogy a Metin2 fiókok feltörésre kerülnek. 2017-ben regisztráltál egy kis fórumra ugyanazzal a jelszóval, amelyet még mindig a Metin2 fiókodhoz használsz. A fórum adatbázisa kiszivárgott. Évek múlva egy támadó letölti a szivárgást és minden felhasználónév/jelszó párt megpróbál minden játékszerveren, amelyet csak tud. A Metin2 fiókodnak semmi baja a saját biztonságával; az egy másik helyen történt, nem kapcsolódó szivárgás miatt hal meg.

Phishing a játékon belül és a Discordon

A klasszikus Metin2 phishing folyamat: egy idegenből érkezik egy üzenet „a GM szeretne neked egy jutalmat adni, jelentkezz be ide, hogy igényelhesd", vagy egy Discord bot, amely egy szerver hivatalos adminját utánozza, egy hamis bejelentkezési linket küld neked. Az oldal azonosnak tűnik az igazi oldallal. Beírod a hitelesítési adataidat. A támadó benne van. Az igazi GM-ek soha nem küldik DM-ben a játékosoknak, hogy kérjenek bejelentkezést, jelszót vagy „ellenőrzési kódot". Minden nem kért „GM kapcsolat" alapértelmezésben ellenségesnek tekintsd.

Rosszindulatú kliensek és nem hivatalos eszközök

Auto-loot botok, mini-map módok, „ingyenes kalap" patcherek, módosított kliensek, amelyeket véletlenszerű Discord szerverekről töltöttél le: mindezek népszerű szállítási járművei a hitelesítési adatokat lopó kártékony szoftvernek. A támadónak nem kell phishelnie, ha te adod meg neki a billentyűzetfigyelőt és a képernyőfigyelőt. Ragaszkodj a szerveren közzétett hivatalos klienshez.

Csere és fiókosztás csalások

„Kölcsönözd nekem a fiókodat egy dungeonnál, megkapod a dropot." „Csak oszd meg a jelszavadat, hogy segíthessek a jelmez beállításában." Minden fiókosztási ajánlat két módon végződik: a barát barátságos marad és semmi sem történik, vagy a barát ellenséges lesz (vagy a fiókja feltörésre kerül, miközben te vagy bejelentkezve) és mindent elveszítesz. Az osztás várható értéke negatív. Ne tedd.

A Mélyrétegű Védelmi Ellenőrzőlista

Az alábbi elemek közül egyik sem teljesen biztos önmagában. Kombinálva olyan költségessé teszik a fióktöréskísérletet, hogy a támadók könnyebb célokra térnek át:

• Egyedi jelszó fiókként. A Metin2 jelszavad nem lehet az e-mail jelszavad, a Discord jelszavad, a másik játék jelszavad, vagy bármilyen jelszó, amelyet valaha máshol használtál. Használj jelszókezelőt (ajánlások alább), hogy ne kelljen tizenkettőt megjegyezned.
• 2-faktoros hitelesítés, ahol támogatott. Sok szerver launcher fiók és a legtöbb e-mail szolgáltató (Gmail, Outlook, ProtonMail, Yandex) lehetővé teszi egy TOTP kód hozzáadását egy alkalmazáson keresztül, mint az Authy, Aegis vagy Google Authenticator. Kapcsold be. Egy 2FA-val védett fiók túléli még egy teljes jelszó szivárgást is.
• Dedikált játék e-mail. Hozz létre egy címet, amelyet csak játékfiókokhoz használsz. Ha ez a postafiók feltörésre kerül, a sérülés sugara a játékokra korlátozódik; a banki és munka e-mailjeid biztonságban maradnak.
• Soha ne kattints játékon belüli bejelentkezési linkekre. Az igazi adminok csak a hivatalos szerver URL-jét irányítják. Írja be manuálisan vagy használj könyvjelzőt. Az URL-rövidítők és az idegenek által küldött Discord átirányítások 95%-ban phishing.
• Ellenőrizd az SSL lakat ikont a bejelentkezés előtt. Minden legitim Metin2 szerver bejelentkezési oldala HTTPS-en keresztül kerül kiszolgálásra érvényes tanúsítvánnyal. Ha a lakat ikon hiányzik vagy a böngésző figyelmeztet a tanúsítványra, zárd be a lapot és ellenőrizd az URL-t.
• Ne oszd meg. Soha. A fiókosztás megtöri a biztonsági modellt, függetlenül attól, hogy mennyire bízol a barátban. Az ő számítógépe feltörésre kerülhet, még ha ő nem is.
• Figyelj a jelszó-visszaállítási e-mailekre, amelyeket nem indítottál el. Ha egy érkezik, azonnal változtass jelszót; valaki megpróbál bejelentkezni.
• Kerüld a nem hivatalos klienseket és az „ingyenes item" eszközöket. Ha egy letöltés szeretne fájlokat cserélni a Metin2 mappádban és nem a hivatalos launcherből származik, kezelj kártékony szoftverként.

Jelszókezelők és Generátorok

Az egyetlen legmagasabb hatású dolog, amit a biztonságodért tehetsz, egy jelszókezelő telepítése és egy véletlenszerű 16 karakteres jelszó generálása fiókként. Erős alapértelmezések:

• Bitwarden, nyílt forráskódú, ingyenes személyes használatra, auditált, szinkronizálódik minden platformon.
• 1Password, prémium kidolgozottság, kiváló családi csomag, nagyon gyors minden operációs rendszeren.
• KeePassXC, teljesen offline, nincs felhő, ideális, ha nem szeretnéd, hogy egy harmadik fél tároljon a tárolódat.
• LastPass, hosszú ideig létezik és könnyen használható az újonnan érkezőknek; vedd figyelembe a 2022-es szivárgás történetét, mielőtt elkötelezed magad.

Ha inkább manuálisan szeretnél jelszavakat generálni:

• Bitwarden online generátora, működik bármely böngészőben, nincs regisztráció.
• Norton jelszó generátor, egyszerű, megbízható biztonsági márka.

Szerver Tulajdonosoknak: Az Egyenlet Másik Fele

A játékosok mindent helyesen tehetnek meg és még mindig feltörésre kerülhetnek, ha maga a szerver nem biztonságos. Ha Metin2 szervert üzemeltetsz, a minimális működési ellenőrzőlista:

• DDoS védelem a bejelentkezési és játékszerverek előtt. Egy elszánt versenyző egy nem védett szervert offline veheti egy keddi délután költségéért.
• Bcrypt vagy Argon2 jelszó hasítás az account adatbázisban, soha nem egyszerű szöveg, soha nem MD5, soha nem SHA-1 unsalted. Ha az adatbázis kiszivárog, a feltörés költsége elég magas legyen ahhoz, hogy a támadó számára ne érje meg az idő.
• Bot védelem a regisztrációs és bejelentkezési végpontokon. Egy ingyenes CAPTCHA a Metin2-hez készítve blokkolja a hitelesítési adatok feltörési scriptjeit, amelyek a #1 támadási vektor a játékosok fiókjai ellen.
• Helytelen adatbázis biztonsági másolatok, titkosítva nyugalomban. A ransomware csoportok kifejezetten a kis játékszerver-üzemeltetőket célozzák meg, mert a játékosok nyomása az admint fizetésre kényszeríti.
• 2FA a személyzeti fiókoknál. Minden fiók, amely mozgathat itemeket, kitilthat játékosokat vagy olvashatja az adatbázist, egy második faktor mögött kell, hogy legyen. Egy feltört GM fiók rosszabb, mint egy feltört játékos fiók.
• Nyilvános biztonsági kapcsolat a szerver webhelyén, hogy a kutatók és játékosok felelősen tudják nyilvánosságra hozni a sebezhetőségeket.

Figyelmeztető Jelek: Ismerd Fel a Csalást, Mielőtt Rákattintanál

Ha ezek közül bármelyik megfelel az előtted lévő üzenetnek, menj el:

• Egy „admin", „GM" vagy „moderátor" DM-ben ír neked a fiókodról váratlanul.
• Az URL-ben van egy kötőjel vagy extra szó, amelyet az igazi domain nem tartalmaz (pl. metin2-pserver-login.com az igazi oldal helyett).
• A jelszavadra, a „munkamenet tokenedre", az e-mail-megerősítési kódodra vagy a 2FA biztonsági másolataidra kérnek.
• Egy időzítő nyomást gyakorol rád, hogy 60 másodpercen belül cselekedj vagy „a jutalom lejár".
• Az oldal arra kér, hogy letiltsd az antivírust vagy „megbízz" egy aláíratlan futtatható fájlban.
• Egy barát fiókja hirtelen egy bejelentkezési linket vagy egy „nézd meg ezt a videót" mellékletet küld neked.

Az Alapvető Gondolat

A Metin2 biztonsága főleg két dolog elkerüléséről szól: jelszavak újrafelhasználásáról és nem kért üzeneteknek való bizalomról. A többi a mélyrétegű védelmi lépcsőzés. Telepíts egy jelszókezelőt ma, kapcsold be a 2FA-t, ahol tudod, tartsd a játék e-mailjeidet elkülönítve az igazi e-mailektől, és minden olyan „GM"-et, aki váratlanul ír neked, ellenségesnek tekints. Tedd ezt meg, és az az idő, amelyet a karakteredbe fektettél, ott marad, ahol a helye: a karaktereden.