Всем здарова, срочно нужна помощь. У меня реализована простая авторизация, в бд хранится e-mail, и хэш пароля. Пытаюсь сделать некоторую защиту, пока получается следующим образом: если была неудачная попытка авторизации с определённого ip, то я заношу этот ip в бд, и пока с этого ip не будет удачной попытки, вывожу капчу. Правильный ли это механизм, или есть варианты лучше? И да, что делать, если ip динамический? Заранее спасибо всем за ответ.
-
Даже если IP динамический. Он же не каждые 5 секунд меняется:)– Никита Васильченко22 июл 2017 в 16:12
-
на самом деле пароли часто перебирают не с одного ip а с множества, используя ботнеты или tor. так что если поток запросов действительно большой есть смысл поставить гугловскую капчу, которая сама пользователей определяет и показывать ее всегда. Или сделать доп. механизм защиты, например с помощью передачи из формы некого кода, который на страницу поставит JS-код (подборщики паролей скорее всего не будут выполнять JS)– Mike22 июл 2017 в 16:16
-
Не надо проверять ip. 3 неудачных попытки, например, за последние 15 секунд - показывайте капчу для любого ip. Замучаются перебирать :)– Visman22 июл 2017 в 16:20
-
А есть ли смысл помещать надобность капчи в сессию и в шаблоне выводить капчу, если $SESSION['captcha'], или злоумышленник каждый раз будет создавать новую сессию и это бесполезно?– Kamal Asfera22 июл 2017 в 16:25
-
1@KamalAsfera, это бесполезно. Да еще и забить могут файлами сессий диск. Сессии вообще лучше использовать только на вошедших пользователях.– Visman22 июл 2017 в 16:31
3 ответа
Добавьте так же защиту от CSRF
А так вроде нормально, 10 попыток капча, еще 10 бан IP на 15 минут
- В первую очередь CSRF
- Капча, надёжная, проверенная временем Google Recapthca
- Подтверждение входа по почте (если заходит с нового IP)
- (опционально) использование секретного 4-х или 5-и значного пароля . (Если пользователь много раз ввёл неправильный пароль и затем успешно вошёл, можно предоставить заглушку в виде ввода секретного пароля.)
По мне, так вариант с блокировкой входа если человек ввёл много раз неверный пароль, затрудняет использование приложения. Проще замораживать аккаунт до тех пор, пока не будет подтверждено лицо, которое пытается войти. Вариант с подтверждением по почте само собой.
Капча + блокировка авторизации под этим юзером на несколько минут при неверных вводах несколько раз.
Ещё есть стремный метод: 1й раз верный пароль всегда не верный. Человек подумает что не правильно ввел и введет ещё раз. Бот же будет всегда подставлять новый пароль.
-
3Блокировка авторизации юзера порождает возможность DoS-атаки: пишем скрипт, который бесконечно авторизуется с неправильным паролем, авторизация блокируется навечно и в результате даже настоящий юзер сайти не сможет. Достаём пачку айпишников, скармливаем скриптам список всех юзеров — в результате авторизоваться не сможет никто и никогда) 24 июл 2017 в 13:32
-
В противном случае, имея множество проксей - злоумышленник может получить полный доступ к аккаунту. Это лучше вариант? Юзеру, при авторизации можно выводить сообщение, что аккаунт заблокирован на несколько минут по причине подбора пароля. Если вы владелец - свяжитесь с администрацией.– Nekwave25 июл 2017 в 12:33
-
2Нет, если пароль не из топ-10000 и длиннее хотя бы 6 символов, то это невозможно в разумные сроки. Если же пароль простой, то это проблемы пользователя, а не сайта :) 25 июл 2017 в 12:38
-
Если человек сам в пароле сомневается, то не будет он каждую версию по 2 раза вводить.– Qwertiy ♦2 мая 2019 в 16:13