|
ru.nethack
- RU.NETHACK -------------------------------------------------------------------
From : Ilya Teterin 2:5020/400 04 Jun 2003 09:31:55
To : Dmitry Radishev
Subject : C точки зpения закона...
--------------------------------------------------------------------------------
Tue Jun 03 2003 10:04, Dmitry Radishev wrote to Ilya Teterin:
IT>> Блокировка через слип - плохая идея по другой причине. Hикто не мешает
IT>> открыть 1000 соединений (пусть со 100 разных ип) и перебирать пароли с
IT>> той же самой скоростью, что было бы без слипа.
DR> Ограничение количества одновременно идущих попыток авторизации с одного
DR> IP.
Мммм, разве у меня недостаточно ясно озвучена мысль, что брутфорсить можно с
нескольких разных IP? Hу, путь даже ограничишь ты одним соединением с одного
IP (хотя это уже чуток неправильно) - будут брутфорсить с 1000 разных IP с той
же самой скоростью. Hе вижу большой проблемы.
IT>> Как бы я реализовал блокировку? Вот почти готовый алгоритм. Желающим
IT>> придраться просьба читать внимательно и до конца.
IT>> 1. Запросы на авторизацию идентифицируются по (IP,login) и
IT>> складываются в список. 2. Ведется статистика по времени последней
IT>> попытки авторизации для каждого логина 3. Ведется статистика по
IT>> количеству запросов, выполненых для (IP,login) 4. Запросы на
IT>> авторизацию к заданному логину можно выполнять не чаще, чем раз в H
IT>> секунд на основе статистики из (2). Строится список логинов, для
IT>> которых можно выполнять авторизацию. 5. Для каждого логина из списка
IT>> (4) в списке (1) находится запрос, который выполнялся реже всего - на
IT>> основе статистики (3). Этот запрос и выполняется.
DR> Сложно. Это раз. Ограничение попыток _любой_ авторизации с заданного ip,
DR> вместе с задержкой подтверждения авторизации - проще и эффективней.
DR> Логин, согласно (4), _блокируется_ на несколько секунд. Практически это
4 - это правило вида "можно\нельзя", оно не описывает действий в случае
"можно" и "нельзя". Попробуй прочитать еще раз, не пытаясь увидеть между строк
того, чего там нет. Операция "отвергнуть попытку логина" в алгоритме вообще
отсутствует... Любой поступивший запрос будет выполнен - рано или поздно.
--- ifmail v.2.15dev5
* Origin: FidoNet Online - http://www.fido-online.com (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
