Improving Discord account security

Comments

3 comments

  • @volcanofr

    Here is the french 🇫🇷 version:

    ----

    Introduction :

    La sécurité des comptes est un sujet important pour tous. Des utilisateurs lambda avec conversations privés, aux créateurs et professionnels détenant du contenu sensible sur leur compte Discord.
    Nyfos a perdu l'accès de son compte il y a un an, et il y avait un processus long et difficile afin de récupérer son compte, complété avec de longs délais (Il a passé 6 mois sans avoir accès à son compte), font les choses make the thing excessivement compliqué pour une majorité de personnes, parfois jeunes, qui n'aboutiront pas à la fin.
    Il est aussi important de se rappeler que les comptes volé peuvent aboutir à un vol d'identité, ainsi que de potentiels dangers pour vos amis et les personnes susceptible de discuter avec le hacker à la place de vous. Pour les professionnels, cela peut conduire à une perte d'emploi.
    Qu'attendons-nous ? Améliorons la sécurité des utilisateurs Discord !

     

    Suggestion:

    A2F veut dire "Authentification à 2 Facteurs". En gros un code sur votre téléphone, qui change toutes les 60 secondes, que vous devez insérer sur Discord après avoir rentré vos identifiants pour vous connecter.

    L'A2F n'est pas autant sécurisé que ça. Si quelqu'un récupère votre token (appelé aussi clé) : je veux dire par là qu'il suffit de posséder le token d'un utilisateur pour se connecter et changer l'A2F, le numéro de téléphone, ainsi que le mot de passe du compte. Pourquoi pas alors faire en sorte d'avoir les codes de secours de l'A2F de manière persistante ? Cela voudrait dire que même si quelqu'un modifierait l'A2F, les codes de secours resteront utilisable sur votre compte.
    Une autre solution serait de simplement avoir un code de secours permanent. Il serait visible qu'une seule fois, et utilisé comme un token secondaire. On pourrait comparer cette solution aux tokens des bots.

    Nous pourrions aussi créer un paramètre (ou activer cela pour tous, sans possibilité de désactivation) de forcer la vérifiaction avec A2F même si la connexion a été faite avec un token (et non pas identifiants), mais d'une localisation n'ayant pas encore été utilisée par le compte (nouvelle localisation géographique, adresse IP, adresse MAC...). Cela est déjà mis en place par de nombreux sites & applications populaires, alors pourquoi pas Discord ?

    OK, 

    OK, Nyfos sait que sa suggestion est vraiment longue et illisible, donc il va s'arrêter ici. 😅
    Merci beacoup de m'avoir lu! N'oubliez pas de voter et partager le lien de cette suggestion, c'est une bonne idée d'amélioration pour la sécurité de tous ! 🙏🏽

    0
  • @volcanofr

    My opinion about these suggestions:

    1. 2FA persistent backups
      So, if a hacker get access to an account and make some backup codes, they have access to this account forever? I don't think that this suggestion is possible...
    2. Permanent backup code
      Without any reset possible (without contacting Discord's support), that could be nice :D
    3. Force 2FA
      Why do you wanna make this a parameter? Make it for everybody (who have enabled 2FA) with even any alredy-knonw localisation would be great!
    Edit: 2FA persistent backups & Permanent backup code is the same thing: only one code shown once, in addition of actual backup codes system.
    1
  • Nyfos

    So, if a hacker get access to an account and make some backup codes, they have access to this account forever? I don't think that this suggestion is possible...

    Those backup codes should be shown only once.

     

    Why do you wanna make this a parameter? Make it for everybody (who have enabled 2FA) with even any alredy-knonw localisation would be great!

    Just a proposition in case they don't want to apply this change to everyone.

    0

Please sign in to leave a comment.