ru.perl

 
 - RU.PERL ----------------------------------------------------------------------
 From : Eugene Grosbein                      2:5006/1       10 Nov 2002  11:27:43
 To : Artem Chuprina
 Subject : Re: проблема с защитой
 -------------------------------------------------------------------------------- 
 

 
  EG>>>> Если сделать stateful и exponential backoff, работать будет.
  AC>>> Hа верный ввод пароля тоже? 
  EG>> Зачем?
  AC> Затем, что иначе все совсем тривиально. Замеряем время легального отклика
  AC> сервера, ждем удвоенное, если не ответили, считаем пароль неверным, рвем
  AC> соединение, начинаем следующее. Hагрузка у нас не возрастает вообще, а что 
  AC> на сервере она растет - так он сам себе DoS устроил своим exponential
  AC> backoff. Если на верный ввод пароля есть exponential backoff (т.е. если
  AC> юзер правильно набрал пароль со второй попытки, он все равно получит ответ 
  AC> с задержкой как для первого неудачного запроса, если с третьего - как для
  AC> второго, и т.д.) - придется делать несколько запросов в параллель,
  AC> постепенно увеличивая их количество. Потому как если правильно подобрали с 
  AC> пятнадцатого раза, то положительного ответа ждать придется довольно долго. 
  AC> Твой сервер, естественно, огребет DoS и в этом случае тоже.
 
 Само собой разумеется, что установлено ограничение на количество
 одновременных сессий с одного IP. Остальные безусловно отбрасываются
 еще до обработки. Так что DoS не будет. DoS, кстати, и без этой схемы
 делается, если лимитов нет. Да, на верный ввод тоже надо backoff.
 И еще не указал, что обычно на первые три попытки задержек не ставим,
 счетчик включаем после третьей.
 
  AC>>> Фигня, лечим параллелизацией. Ты все равно после
  AC>>> какого-то весьма ограниченного количества безуспешных запросов IP
  AC>>> отрубишь, а
  AC>>> несколько десятков параллельных запросов сейчас выдержит любая рабочая
  AC>>> станция.
 
  EG>> При stateful параллелизация не поможет. 
 
  AC> Параллелизация помогает от exponential backoff на верный ввод пароля, а не 
  AC> от stateful. Hа stateful как таковой мы вообще чихать хотели по
  AC> вышеописанной схеме.
 
 Все неудачные запросы от одного клиента выстраиваются в одну очередь
 посредством блокировок, так что параллелизация ничего не даст.
 
 Eugene
 -- 
 "Люди забыли эту истину," - сказал Лис, - "но ты не забывай"
 --- slrn/0.9.7.4 (FreeBSD)
  * Origin: Svyaz Service JSC (2:5006/1@fidonet)
 
 

Вернуться к списку тем, сортированных по: возрастание даты  уменьшение даты  тема  автор