|
ru.nethack
- RU.NETHACK -------------------------------------------------------------------
From : Dmitry Radishev 2:5015/42 03 Jun 2003 10:04:13
To : Ilya Teterin
Subject : C точки зpения закона...
--------------------------------------------------------------------------------
Monday June 02 2003 14:02, Ilya Teterin wrote to Alexander Shevchenko:
IT> Блокировка через слип - плохая идея по другой причине. Hикто не мешает
IT> открыть 1000 соединений (пусть со 100 разных ип) и перебирать пароли с
IT> той же самой скоростью, что было бы без слипа.
Ограничение количества одновременно идущих попыток авторизации с одного IP.
IT> Как бы я реализовал блокировку? Вот почти готовый алгоритм. Желающим
IT> придраться просьба читать внимательно и до конца.
IT> 1. Запросы на авторизацию идентифицируются по (IP,login) и
IT> складываются в список. 2. Ведется статистика по времени последней
IT> попытки авторизации для каждого логина 3. Ведется статистика по
IT> количеству запросов, выполненых для (IP,login) 4. Запросы на
IT> авторизацию к заданному логину можно выполнять не чаще, чем раз в H
IT> секунд на основе статистики из (2). Строится список логинов, для
IT> которых можно выполнять авторизацию. 5. Для каждого логина из списка
IT> (4) в списке (1) находится запрос, который выполнялся реже всего - на
IT> основе статистики (3). Этот запрос и выполняется.
Сложно. Это раз. Ограничение попыток _любой_ авторизации с заданного ip,
вместе с задержкой подтверждения авторизации - проще и эффективней.
Логин, согласно (4), _блокируется_ на несколько секунд. Практически это
означает, что создав поток попыток авторизации какого-то логина - этот логин
будет блокироваться через доли секунды после разблокировки, и законный владелец
авторизоваться не сможет.
IT> Итог: брутфорсер не сможет ни подбирать пароли с приемлимой
IT> скоростью,
IT> ни заблокировать работу легального пользователя сервиса.
Сможет. Либо ты не полностью описал свой алгоритм.
IT> В худшем случае, если брутфорсер находится на том же ИП, что и
IT> легальный пользователь, время авторизации лишь замедлится.
Hе "несколько замедлится", а 99.9% попыток авторизации будут отметаться ещё до
ввода пароля. Попыток авторизации _владельцем логина_.
All the best //DiBR [TEAM ВСЕ МАСТДАЙ] [шестая базовая]
[http://dibr.nnov.ru]
--- [LPT] LaMerZ PrOfeSsIoNaL TeaM /member/
* Origin: under construction (2:5015/42)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
C точки зpения закона... 