Best Practice gegen Passwort-Liste-Angriffe mit Web-Anwendungen

Question

ich mag Bots verhindern, dass Hacker schwache kennwortgeschützte Konten. (Zum Beispiel das geschieht zu ebay und andere große Site)

Also ich werde gesetzt ein (Mit-) im Cache gespeicherten Wert mit der ip, Menge von Versuchen und Zeitstempel des letzten Versuch (memcache-fall-out).

Aber was Bots versuchen, alle Konten zu öffnen mit nur einem Passwort. Zum Beispiel versucht die Bot alle 500.000 Useraccounts mit dem Passwort „kennwort123“. Vielleicht wird 10 öffnen.

Also mein Versuch war nur die ip versucht Cache und setzt max-versucht, ~ 50. Das würde ich es nach einer erfolgreichen Anmeldung löschen. Die gute-bot würde nur mit einem gültigen Account anmelden alle 49 versucht, die Sperre setzen.

Gibt es eine Möglichkeit, es richtig zu tun? Was große Plattformen dagegen tun? Was kann ich Idioten tun, um zu verhindern, dass alle Benutzer 50mal mit erneuten Versuch auf einem Proxy blockiert?

Wenn es keine beste Praxis ist - bedeutet das jede Plattform ist Brute-durchsetzbar? Zumindest mit einem Hinweis auf, wenn Zähler zurückgesetzt werden?

Answer 1

Ich glaube, Sie Ihre Lösung mit Captchas mischen:

1. Die Anzahl der Versuche pro IP
2. Falls es zu viele Versuche von einer bestimmten IP-Adresse innerhalb einer bestimmten Zeit, fügen Sie ein captcha Ihr Login-Formular.

Answer 2

Einige Websites geben Ihnen vielleicht zwei oder drei Versuche, bevor sie beginnen, dass Sie einen Captcha zusammen mit Ihrem Benutzername / Passwort eingeben. Das Captcha weggeht, sobald Sie erfolgreich eingeloggt sein.

Answer 3

Es war ein relativ guter Artikel über Coding Horror vor ein paar Tagen .

Answer 4

Während der Code auf Django fokussiert ist es eine wirklich gute Diskussion über die Best-Practice-Methoden auf Simon Willison Blog . Er nutzt Memcached IPs zu verfolgen und Ausfälle anmelden.

Answer 5

Sie könnten einen Passwortstärke checker rel="nofollow, wenn ein Benutzer-Sets ihr Passwort sicherzustellen, dass sie nicht ein leicht Brute-zwang Passwort.

EDIT:. Nur klar zu sein, ist dies nicht als eine vollständige Lösung für das Problem zu sehen, sollen Sie zu lösen sind versucht, aber es sollte mit einigen der anderen Antworten in Verbindung angesehen werden

Answer 6

Sie sind nie eine Gruppe von Bots zu verhindern versucht, dies aus vielen verschiedenen IP-Adressen in der Lage sein.

Aus der gleichen IP-Adresse: Ich würde sagen, wenn Sie ein Beispiel von „verdächtiges“ sehen Verhalten (ungültiger Benutzername oder mehr gültigen Konten mit falschen Login-Versuchen), blockieren nur die Anmeldung für ein paar Sekunden. Wenn es ein berechtigter Benutzer ist, werden sie nichts dagegen, ein paar Sekunden warten. Wenn es ein Bot wird dies sie langsam auf den Punkt nach unten unpraktisch zu sein. Wenn Sie das Verhalten der IP-Adresse weiter, um zu sehen, nur um sie blockiert -. Aber eine Out-of-Band-Tür für berechtigte Benutzer verlassen (Anruf Telefon #x, oder eine E-Mail dieser Adresse)

Answer 7

ACHTUNG: IP-Adressen können unter Tausenden oder sogar Millionen von Benutzern gemeinsam verwendet werden !!! Zum Beispiel, die meisten / alle AOL-Nutzer erscheinen als eine sehr kleine Gruppe von IP aufgrund der AOL-Netzwerk-Architektur adressiert. Die meisten ISPs Karten ihre große Nutzerbasis zu einer kleinen Gruppe von öffentlichen IP-Adressen.

Sie können nicht davon ausgehen, dass eine IP-Adresse gehört nur ein einzelner Benutzer.

Sie können nicht davon ausgehen, dass ein einzelner Benutzer nur eine einzige IP-Adresse verwendet wird.

Answer 8

Überprüfen Sie die folgenden Fragen Best Practices gegen distibuted Brute-Force-und Wörterbuch-Attacken zu diskutieren:

Was ist die beste Distributed Brute Force Gegen?