Блог

Я хочу реализовать максимальное количество попыток входа в систему, когда мои пользователи входят в систему, чтобы предотвратить автоматические атаки методом перебора при входе в систему.

Я могу придумать несколько разных вариантов того, как я мог бы это сделать, но все они, похоже, оставляют большие дыры в безопасности.

Какие методы / опции у меня есть для этого? Я, очевидно, не могу использовать скрытое поле, и я не могу использовать сеанс, потому что его нет. Каков протокол или наилучший практический метод для этого.

Я просматриваю 10 попыток, прежде чем я применю сброс пароля или временную деактивацию учетной записи.

ПРИМЕЧАНИЕ — я смотрю, какие методы у меня есть для хранения суммы входа, как я различаю попытки входа и т. Д

Если вы хотите запретить пользователю использовать несколько логинов и паролей, вам нужно будет отслеживать IP-адрес вместе с количеством неудачных попыток входа в систему. IP-адреса будут храниться в другой таблице, чем у аутентифицированного пользователя.

Если один и тот же IP-адрес пользователя имеет 10 недопустимых логинов, то ни один логин, который они вводят, не будет работать, даже если они изменят комбинацию имени пользователя и пароля.

Конечно, они могут изменить там ip в любое время, но если вы не покажете им, что они были отслежены, и сохраните форму как обычную, и результат будет таким же, они будут продолжать пытаться, но на самом деле ничего не проверяют. Все просто вернет неверные учетные данные, которые увидит обычный пользователь. Если вы хотите, чтобы они перестали забивать ваш сервер, вы можете настроить IIS на их блокировку, но это приведет к тому, что они просто переключат IP-адреса. В конце концов список закончится, и они отправятся в другое место.

вы также можете отправить пользователю электронное письмо после 3 попыток, уведомив его о том, что произошел неверный вход в систему, и, если это не они, попросите их выполнить какое-либо действие. Я знаю, что такие сайты, как LogMeIn, делают это.

Я думаю, что общий шаблон заключается в том, что неудачные попытки входа в систему отслеживаются на сервере, а не на клиенте, и что, когда сервер зарегистрировал X количество сбоев для конкретной учетной записи, эта учетная запись блокируется. Затем пользователю необходимо сбросить свою учетную запись с помощью ранее проверенного механизма контактов (адрес электронной почты, номер телефона, вопрос-вызов и т. Д.).