L'account utente deve essere bloccato dopo la quantità X di accessi non riusciti?

I blocchi degli account su applicazioni remote (ad esempio, laddove l'autore dell'attacco non è in grado di reimpostare il numero di tentativi senza ulteriore intervento) sono principalmente per prevenire attacchi di forza bruta contro gli account. Se hai utenti che selezionano password molto deboli o comuni e il tuo sistema non tenta di impedirne l'utilizzo, è del tutto possibile che un utente malintenzionato possa accedere ad alcuni account, anche se il blocco degli account è implementato. Tuttavia, ciò non significa che non valga la pena di essere implementato - per gli utenti che scelgono password leggermente migliori, rallenta enormemente un utente malintenzionato e può avvisare te o i tuoi utenti di potenziali attacchi.

Questo è diverso dalla scelta di un metodo di memorizzazione della password, che generalmente sta tentando di difendersi dagli aggressori che hanno ottenuto il tuo database utente. Ovviamente, in quel caso, non puoi impedire a qualcuno di fare tanti tentativi di indovinare la password come preferiscono: possono semplicemente cancellare un gruppo di password con il sale del tuo DB e confrontare fino a trovare una password che dia lo stesso hash.

Tuttavia, il metodo specifico che stai usando per registrare i tentativi falliti è un problema. Stai registrando il nome utente e la password errata. Nella maggior parte dei casi, la probabilità che un utente legittimo che digita erroneamente la password è superiore a quella di un utente malintenzionato che tenta di accedere al sistema. In tal caso, la tabella dei registri che stai mantenendo diventa preziosa per gli autori di attacchi: contiene nomi utente con stringhe che potrebbero essere vicine a password valide per gli account. Se gli utenti hanno password solo per il tuo sito, questo potrebbe ridurre in modo massiccio lo sforzo richiesto alle password brute force se il tuo DB è stato acceduto e se gli utenti hanno account su altri sistemi con le stesse password, anche se gli altri sistemi utilizzano schemi di lockout degli account, hai appena dato agli attaccanti una possibilità molto migliore di indovinare la password corretta entro il limite del tentativo.

Non è necessario memorizzare la password. Ti interessa solo il numero di tentativi contro ogni account. Potrebbe essere un valore intero collegato al loginid e sarebbe sufficiente per il processo di blocco. È possibile archiviare separatamente l'IP di origine e monitorare modelli di traffico insoliti, anche se si rischia di bloccare gli utenti legittimi che si connettono al proprio sito tramite connessioni NAT-ed - i provider di telefonia mobile spesso raggruppano un numero elevato di utenti in modo che sembrino provenire da un singolo indirizzo IP, ad esempio.

Uno schema comune per il blocco degli account è il monitoraggio del numero di tentativi falliti contro un account, quindi l'applicazione di blocchi temporali incrementali contro tale account. Ad esempio, dopo 3 tentativi falliti, è possibile bloccare ulteriori tentativi per 5 minuti. Se si verificano altri 3 tentativi falliti, bloccare l'account per 10 minuti e così via - questo può essere ripristinato una volta che si verifica un accesso legittimo. Può anche essere utile per mostrare il numero di tentativi falliti agli utenti al momento dell'accesso - se individuano qualcosa di strano, possono potenzialmente avvisarti di un problema.

Una cosa da tenere presente con l'implementazione degli schemi di blocco degli account è che possono agire come nome utente oracle, se implementati male. In questo caso, è possibile individuare un comportamento distinto tra account validi e account inesistenti, consentendo a un utente malintenzionato di sapere che un determinato nome utente è valido. Per evitare ciò, è possibile monitorare tutti i nomi utente forniti e mostrare lo stesso comportamento per quelli non esistenti come quelli validi, o semplicemente non visualizzare quando un account è bloccato. Se lo scegli, potresti creare confusione agli utenti, che potrebbero non essere in grado di accedere se sono soggetti a un attacco a loro insaputa.