Camada de proteção extra na autenticação, SRP-6a + Argon2id no lugar do legado MD5.
A senha não sai mais do seu computador no login, o servidor não guarda nada que sirva para entrar na conta e dá para ligar a verificação em 2 etapas por e-mail no site.
Como teremos possibilidade de RMT no jogo, trocamos a autenticação padrão do jogo, que facilita o roubo de credenciais e a autenticação por clientes alterados, por SRP-6a com Argon2id. A mudança vem na versão 1.37, pelo launcher, sem reinstalar.
O que muda
- A sua senha não sai do seu computador. No login, o jogo e o servidor provam um para o outro que conhecem a senha sem mandá-la pela rede: nem a senha, nem um resumo dela que sirva para entrar.
- O servidor não guarda nada que sirva para entrar na conta. Ele guarda só um verificador, que confere essa prova mas não abre a conta. Mesmo com uma cópia do banco, seria preciso adivinhar a senha, e cada tentativa sai cara (é para isso que serve o Argon2id).
- O jogo também confere o servidor: se do outro lado não estiver o servidor oficial, o login não termina.
- Não precisa trocar de senha. No seu primeiro login na 1.37, a conta passa para o sistema novo sozinha. Entrar no site também faz a troca.
- Depois disso, versões antigas do jogo não entram mais na sua conta. Deixe o launcher atualizar o jogo.
- O cadastro pelo jogo também já usa o sistema novo.
Verificação em 2 etapas por e-mail
Também adicionamos a possibilidade de ligar a Verificação em 2 etapas por e-mail no site. Com ela ligada, entrar no jogo num computador novo, ou entrar no site, pede, além da senha, um código de 6 dígitos que mandamos para o seu e-mail. Quem descobrir a sua senha não entra sem esse código.
Como ligar
- Entre no site e abra Minha conta.
- No quadro Verificação em 2 etapas, confira o e-mail e clique em Enviar código de confirmação.
- Digite o código que chegou no e-mail e clique em Ligar a verificação.
- Guarde os 10 códigos de recuperação que aparecem (dá para copiar ou baixar em .txt). Cada um vale uma vez, no lugar do código do e-mail, se você perder o acesso a ele.
No jogo
- Depois da senha aparece a janela do código: digite o código do e-mail (ou um de recuperação) e clique em Confirmar.
- Marque Confiar neste PC por 30 dias no seu computador para não precisar do código nele durante 30 dias. Não marque num computador que outras pessoas usam.
- O código vale 10 minutos e uma vez só. Não chegou? Clique em Reenviar código (um por minuto).
- Se alguém entrar na sua conta por um computador que ela nunca usou, você recebe um e-mail de aviso.
Em Minha conta você vê e remove os PCs confiáveis, gera códigos de recuperação novos e, se quiser, desliga a verificação (com um código do e-mail ou de recuperação).