Ochranu proti brutální síle přihlášení lze vynutit třemi způsoby:

• Dočasné uzamčení
• Trvalé uzamčení
• CAPTCHA

Z mého pohledu je CAPTCHA nejrozumnějším řešením, jak se vyhnout riziku bruteforce a odmítnutí služby z důvodu zablokování účtu. Možná jste viděli CAPTCHA, která se objevila na přihlašovacích stránkách Facebooku a Gmailu, pokud zadáte nesprávné heslo více než třikrát nebo čtyřikrát. To je slušný způsob, jak omezit roboty z bruteforcingu a zároveň zabránit zamykání uživatelů.

Trvalé blokování není nové řešení a přidává spoustu provozní režie týmu zákaznické podpory, pokud musí ručně odemknout účet uživatele. Dočasné blokování na druhé straně odradí bruteforcing, ale stejně jako scénář, který jste zmínili, může zablokovat skutečného uživatele.

Ano, některé weby to dělají, aby zabránily útokům bruteforce nebo hádání hesla. Místo zákazu uživatele by měl web zakázat IP adrese přístup na web.

Pokud útočník přeskakuje z jedné adresy IP na druhou a provádí útok hrubou silou, pak v takovém případě může web zakázat ID uživatele a upozornit na něj zakázaného uživatele prostřednictvím e-mailu nebo jiným způsobem nebo může být zákaz uživatele na krátkou dobu bude také nezbytný.

Jiní respondenti již nabídli několik cenných prostředků, kterými mohou webové stránky zabránit zneužití opatření proti hádání heslem za účelem uzamčení lidí. Tady je další: IP whitelisting.

@Skynet již navrhl černou listinu, ale když útočníci dnes dokážou budovat botnety přes milion zařízení o velikosti, nemusí to být moc efektivní proti vynalézavému útočníkovi. (Všimněte si, že útočník by nemusel takový botnet sám vytvářet: mnoho kybernetických robotů si pronajímá přístup ke svým robotům.)

Takže zatímco blacklisting by mohl nabídnout obranu proti méně výkonnému útočníkovi, pokud by útok škálovatelné až na velký počet IP adres, alternativou by bylo pokusit se omezit přístup k IP adresám, které byly dříve použity k úspěšnému přihlášení k účtu.

Samozřejmě je třeba věnovat pozornost zaujato: pokud má útočník přístup k zařízení, které používá povolenou IP adresu, měl by se web podívat, aby zajistil, že útočníkovi nedovolí uniknout detekci hrubou silou. Protože uživatel může mít dynamickou adresu IP nebo se z nějakého jiného důvodu pokusí přihlásit z nové adresy IP, musí existovat nějaký alternativní mechanismus, kterým může uživatel obejít blokování přihlášení, například :

• Zadáním CAPTCHA (je však třeba upozornit: odhodlaný útočník by mohl najmout lidi, aby je vyřešil za překvapivě nízkou cenu);
• Kliknutí na odkaz v e-mailu (budete také chtít zabudovat některé kontroly, abyste zabránili zneužití k zaplavení doručené pošty lidí); nebo
• pomocí nějakého dvoufaktorového ověřování k prokázání, že jsou legitimním vlastníkem účtu.

Ano a bylo to již dříve. To může u některých webů způsobit velký problém. OWASP uvádí některé příklady toho, jak se to může pokazit na jejich stránce Blocking Brute Force Attacks...

Uzamčení účtu je někdy účinné, ale pouze v kontrolovaných prostředích nebo v případech, kdy je riziko tak velké, že i nepřetržité útoky DoS jsou výhodnější než kompromisy. Ve většině případů je však uzamčení účtu pro zastavení útoků hrubou silou nedostatečné. Vezměme si například aukční web, na kterém několik dražitelů bojuje o stejnou položku. Pokud by aukční web vynucoval výluky účtů, mohl by jeden uchazeč jednoduše zablokovat účty ostatních v poslední minutě aukce a bránit jim v podávání jakýchkoli výherních nabídek. Útočník by mohl stejnou techniku ​​použít k blokování důležitých finančních transakcí nebo e-mailové komunikace.

Ano, jedná se o skutečnou hrozbu a je třeba ji vzít v úvahu při vytváření obrany hrubou silou. Byly provedeny i tyto druhy útoků, takže to není čistě teoretické.

Obvykle dnes systém poskytne uzamčenému uživateli nějaké prostředky k resetování jeho účtu, obvykle prostřednictvím samostatného kanálu (mail, SMS atd.)

Ano, je to možné. Lze tomu však zabránit pomocí CAPTCHA, pokud to má přihlašovací formulář, jediným způsobem, jak toho dosáhnout, je ruční zadávání nesprávných hesel a představuje malé riziko. Útočník musí být opravdu naštvaný, aby strávil celý den zamykáním vašeho účtu.

Rovněž byste měli označit, že účet je uzamčen, když uživatel zadá své přihlašovací údaje správně, aby se zabránilo výčtu účtu, a nikdy nerozlišovat, kdy útočník zadá nesprávný heslo nebo pokud uživatel neexistuje