O Roll20 utiliza criptografia SSL de 256 bits, a melhor do setor, para ajudar a proteger seus dados e sua privacidade. Também temos medidas de segurança, como impedir que outras pessoas acessem seus dados de campanha, a menos que você as convide especificamente, criptografar nossos backups e muito mais. Nosso objetivo é oferecer a você a tranquilidade de saber que seus jogos estão seguros em nossas mãos.
Relatando Vulnerabilidades
Não somos perfeitos e sabemos que haverá bugs e coisas que não pensamos. Se você encontrou uma falha ou vulnerabilidade no Roll20, por favor, nos informe o mais rápido possível através de nosso formulário web . Agradeceríamos um período de 7 dias (ou mais) para lidar com quaisquer problemas antes que sejam revelados publicamente, caso você escolha fazê-lo. Infelizmente, não oferecemos recompensas em dinheiro por relatórios de bugs. Incluí-lo-emos na nossa página Agradecimentosse nos divulgar de forma responsável.
Segurança vs. "Trapaça"
O Roll20 é único, pois é uma plataforma de jogos que suporta centenas de tipos diferentes de jogos. Como resultado, as regras do jogo em si não são realmente aplicadas pelo programa Roll20. Por exemplo, embora você só possa mover fichas que o Mestre tenha dado controle a você, você pode movê-las a distância que quiser, mesmo que as regras do seu jogo especifiquem que a ficha só pode se mover 10ft por turno. Embora você só possa pegar cartas de baralhos que são visíveis para você, você pode pegar quantas cartas quiser, mesmo que as regras do seu jogo especifiquem "pegue apenas 1 carta por turno." A lista aqui é infinita.
Por favor, não nos envie "vulnerabilidades" relacionadas à aplicação de regras específicas do jogo, "trapaças" em um jogo, etc. O Roll20 foi projetado para simular um jogo de mesa, e assim como na vida real, se um jogador quiser trapacear, ele provavelmente encontrará uma maneira de fazer isso. Jogos de mesa são jogados com base na confiança nos jogadores e na confiança no Mestre (ou pessoa que conduz o jogo). Alguém pode roubar do banco no Monopoly, mas eles estão apenas estragando o jogo para todos, e nenhum tipo de aplicação automática pode impedi-los de fazer isso.
Exemplos de coisas sobre as quais estamos interessados em ouvir:
- Você pode entrar em um jogo mesmo sem ter sido convidado.
- Você pode fazer login como outro usuário.
- Você pode visualizar as Mensagens Privadas de alguém.
- Você pode entrar em um jogo e destruí-lo completamente (por exemplo, apagar tudo do tabuleiro)
Exemplos de coisas que não são vulnerabilidades de segurança, mas são trapaças específicas das regras:
- Você pode visualizar os HP de um token de outra pessoa usando a macro @{target} .
- Você descobriu uma maneira de mudar para uma página diferente no jogo.
- Você descobriu uma maneira de desativar temporariamente o nevoeiro de guerra na sua tela.
- Você pode visualizar as estatísticas de um personagem mesmo que não possa controlar esse personagem.
Então, resumindo, consideramos vulnerabilidades de segurança como violações graves da funcionalidade principal do site, não maneiras de contornar a aplicação básica das regras incorporadas ao Roll20.
Vulnerabilidade Heartbleed
Recebemos vários e-mails sobre isso, então achamos que deveríamos postar uma resposta oficial aqui. Quando a vulnerabilidade "Heartbleed" do OpenSSL foi divulgada, verificamos imediatamente nossos servidores e não encontramos nenhum que estivesse executando uma versão vulnerável do OpenSSL. Fomos em frente e atualizamos tudo para a versão corrigida mais recente apenas para garantir, mas neste momento não é necessário alterar sua senha, e em nenhum momento o Roll20 foi vulnerável a esse ataque.