ru.perl

 
 - RU.PERL ----------------------------------------------------------------------
 From : Artem Chuprina                       2:5020/400     09 Nov 2002  22:26:11
 To : Eugene Grosbein
 Subject : Re: проблема с защитой
 -------------------------------------------------------------------------------- 
 

 Здравствуй, Eugene Grosbein.
 
  AC>>>> А время перебора ты таким образом как максимум удвоишь, хоть до часа
  AC>>>> сделай
  AC>>>> задержку. Объяснять, почему, или и так понятно?
  EG>>> Если сделать stateful и exponential backoff, работать будет.
  AC>> Hа верный ввод пароля тоже? 
 
 EG> Зачем?
 
 Затем, что иначе все совсем тривиально. Замеряем время легального отклика
 сервера, ждем удвоенное, если не ответили, считаем пароль неверным, рвем
 соединение, начинаем следующее. Hагрузка у нас не возрастает вообще, а что на
 сервере она растет - так он сам себе DoS устроил своим exponential backoff.
 Если на верный ввод пароля есть exponential backoff (т.е. если юзер правильно
 набрал пароль со второй попытки, он все равно получит ответ с задержкой как
 для первого неудачного запроса, если с третьего - как для второго, и т.д.) -
 придется делать несколько запросов в параллель, постепенно увеличивая их
 количество. Потому как если правильно подобрали с пятнадцатого раза, то
 положительного ответа ждать придется довольно долго. Твой сервер, естественно,
 огребет DoS и в этом случае тоже.
 
  AC>> Фигня, лечим параллелизацией. Ты все равно после
  AC>> какого-то весьма ограниченного количества безуспешных запросов IP
  AC>> отрубишь, а
  AC>> несколько десятков параллельных запросов сейчас выдержит любая рабочая
  AC>> станция.
 
 EG> При stateful параллелизация не поможет. 
 
 Параллелизация помогает от exponential backoff на верный ввод пароля, а не от
 stateful. Hа stateful как таковой мы вообще чихать хотели по вышеописанной
 схеме.
 
 -- 
 Artem Chuprina
 Communiware.net
 RFC2822: <ran@ran.pp.ru>, FIDO: 2:5020/122.256, ICQ: 13038757
 --- ifmail v.2.15dev5
  * Origin: Leninsky 45 home network (2:5020/400)
 
 

Вернуться к списку тем, сортированных по: возрастание даты  уменьшение даты  тема  автор