Hallo zusammen,
wie euch sicherlich aufgefallen ist, funktionieren Accounts und das Login auf der alten Schattenwelt etwas anders, als ihr es von früher oder auch von anderen Shards gewohnt seid.

Grund hierfür ist neben dem modernen Stand der Technik eine besondere Sensibilisierung für das ganze Thema IT Security. Um zu erfahren, wieso SSO eine gute Idee ist, mache ich mit euch einen kleinen Exkurs in das Jahr 2014.

Früher

Zur Zeit der Altvorderen auf SW war der Spielserver das führende System für Accounts und somit auch für die Passwörter. Der Spielserver verteilte sie dann an die verschiedenen Systeme, wo sie in den jeweils erforderlichen (sicheren) Formaten abgelegt wurden. Ein Forum, eine SWPedia und alle anderen Systeme kannten somit nur das sicher gehashte Passwort. Um diese aber je nach Tool im entsprechend notwendigen Format regelmäßig ablegen zu können, musste der Spielserver diese im Klartext speichern. Das bedeutet, dass jeder mit Zugriff auf die World Saves diese auch auslesen konnte. Das betrifft die alte Sphere von 2005, das betrifft Sphere Server X (SSX) von heute und auch RunUO wie wir es früher betrieben haben. Ein einfacher Beweis ist zu sehen, wenn ihr euch in das Velmorra-Forum einloggt und im Quellcode der Seite nach data-password sucht. Ups. Die Problematik wurde mit der dortigen Administrative vor Monaten besprochen - zusammen mit einem Vorschlag zur Lösung.

Die Lösung

Dem Spielserver wurde die Hoheit über die Accounts und Passwörter vollständig entzogen. Es gibt nun eine zentrale Komponente in Form eines Keycloak Servers. Hierbei handelt es sich um eine moderne open source Anwendung, welche auch bei großen Konzernen mit Vertrauen betrieben wird. Diese speichert in der Voreinstellung Passwörter ausschließlich sicher ab. Niemand im Staff und auch niemand im Besitz von World Saves oder Datenbank-Auszügen ist in der Lage Passwörter im Klartext einzusehen, da diese schlicht nicht existieren. Sämtliche Anwendungen im Ökosystem Schattenwelt nutzen Keycloak, um User darüber zu authentifizieren. Dies umfasst die offensichtlichen Werkzeuge, wie das Forum, die Cloud oder die SWPedia. Es umfasst jedoch auch den Spielserver, welcher intern die Abfrage in Richtung SSO macht und Passwörter nicht mehr speichert. Somit habt ihr einen zentralen Anlaufpunkt um eure Passwörter selbstständig zu ändern. Ihr könnt dort auch einen Anzeigenamen setzen, der dann beim nächsten Login in ein beliebiges Tool unseres Ökosystems übernommen wird.

https://sso.alte-schattenwelt.de/realms/schattenwelt/account

Fazit

Wir hoffen euch mit diesem Einblick ein gutes Gefühl gegeben zu haben, dass uns eure Sicherheit und die eurer Daten wichtig ist. Was wir gar nicht erst sammeln und gar nicht erst nicht erst speichern, kann uns später keine Probleme bereiten.
Falls ihr Fragen oder Anmerkungen habt, kommt gerne mit uns in die Diskussion :-)