Quali sono gli svantaggi della limitazione della richiesta di accesso?

Per trasformare lo scenario di attacco di 90 gradi; considera l'attaccante che, anziché utilizzare un elenco di password contro un singolo utente, utilizza invece una singola password contro un elenco di utenti. Immaginiamo che (come l'attaccante) non mi importi a quale account accedo, voglio semplicemente accedere a qualsiasi account (ad esempio, un conto bancario). Invece di provare a forzare un singolo utente (che è probabile che fallisca), provo la stessa password (una comune, ad esempio "CorrectHorseBatteryStaple") contro un elenco di utenti che ho precedentemente ottenuto (la maggior parte dei siti usa l'e-mail indirizzi per nomi utente, che non sono segreti in alcun modo).

In questo scenario, ottieni solo un singolo colpo contro ogni nome utente, ma dovresti comunque limitare i miei tentativi. Nessuna delle tue difese proposte protegge da questo scenario così com'è.

Le tue difese dovrebbero essere focalizzate nell'altro modo, invece di limitare i tentativi di accesso con un nome utente, dovresti limitare i tentativi contro gli indirizzi IP. Credo che Google lo faccia al momento. Ad esempio, se blocco il tuo account, dovresti comunque essere in grado di accedere dal tuo normale indirizzo IP (I.E. Diverso dagli aggressori).

I difetti che vedo da questo approccio sono:

• Più complicato da implementare, soprattutto su una piattaforma scalabile, cross thread.
• Potrebbe non essere efficace su server con bilanciamento del carico.
• Gli utenti potrebbero aver bisogno di essere pazienti.

Per i motivi sopra esposti non è ampiamente implementato.

Non sono sicuro del motivo per cui sarebbe più difficile da implementare rispetto al blocco dell'account, o perché il bilanciamento del carico rs avrebbe alcun effetto. Entrambi gli approcci richiedono un coordinamento centralizzato su cosa fare (lock vs delay).

Penso che la ragione principale sia che si tratta di uno strano comportamento e che il tuo sito Web sembra rotto (non penso che sia semplicemente la pazienza). I ritardi sono comuni e le persone sono addestrate a pensare "il sito web è rotto" perché normalmente è il caso piuttosto che "oh, è solo ritardare il mio login perché ho digitato la password sbagliata", che è molto insolito. In altre parole, tutti vengono addestrati su cosa aspettarsi dal comportamento del sito web secondo le norme di funzionamento dei siti Web in generale.

L'altro motivo è che le persone hanno un potenziale limitato per riprovare semplicemente password diverse. Se hai provato ad accedere 10 volte a un sito e hai fallito, hai dimenticato la tua password a quel punto, e probabilmente un 11 °, 12 ° e 13 ° tentativo non saranno utili. La maggior parte delle persone si arrenderebbe forse al 5-7. Quindi a quel punto è il tempo di azzeramento, e aspettare altri 17 secondi non aiuterà nessuno tranne un aggressore.

La tua soluzione dipenderà dalla variabile a cui si accede dal sistema di autorizzazione (AD, ldap, ...).

L'applicazione menzionata è l'unica ad utilizzare il servizio di autenticazione?

• Se si : la limitazione funzionerà correttamente. Potresti avere utenti che sono sorpresi dalla lentezza dell'applicazione (come percepito da loro) ma questo potrebbe non essere importante (il tuo la strozzatura dovrebbe essere strongmente esponenziale in modo che i primi 3-5 tentativi siano quasi gli stessi, in termini di tempo, quindi inserire una curva di ritardo molto elevata)

• Se not : devi fare lo stesso presupposto per ogni sistema di preoccupazione. Ciò potrebbe significare che alcune delle applicazioni non lo sono il controllo potrebbe non avere il meccanismo di ritardo che hai menzionato. Questo significa anche che devi avere uno stretto controllo su quali applicazioni usa il tuo meccanismo di autenticazione (che potrebbe non essere ovvio se lo è esposto a, diciamo, tutti gli ambienti DMZ come servizio DMZ)

Ho una strong antipatia per il throttling nel caso di applicazioni perché devi codificarlo nel meccanismo di autenticazione (che dovrebbe rimanere semplice) o fare affidamento sulla limitazione del firewall. Ciò è dovuto anche al fatto che di solito ho un sacco di applicazioni che interrogano il servizio di autenticazione da vari punti e la limitazione non è né pratica né applicabile. In questo caso devi assolutamente avere una buona password poichè sono inclini agli attacchi di forza bruta.