Comments on: Защита от брутфорса

By: Защита от подбора пароля для SSH

Защита от подбора пароля для SSH — Thu, 12 Feb 2009 23:31:25 +0000

[...] блогом повадились лазать какие-то хакеры, пытающиеся подобрать пароли для различных стандартных юниксовых юзверей и заодно [...]

By: Yukko

Yukko — Fri, 16 Jan 2009 15:51:30 +0000

Есть известный скрипт Дмитрия Бородина, раньше на php.spb.ru валялся. Один раз его подключаешь в каком-то общем файле, подстраиваешь параметры блокировки и все хорошо, никто не выкачивает, никто не брутфорсит, странички слишком часто тоже не дергает.

By: Хакеры хакнути Твиттер

Хакеры хакнути Твиттер — Thu, 08 Jan 2009 16:16:19 +0000

[...] где я уже давно написал как надо делать правильную защиту от брутфорса. Раз не читали – сами себе [...]

By: Greignar

Greignar — Fri, 09 Nov 2007 01:41:30 +0000

Ну вот, пошли допущения… Я этого и ждал.

5000 адресов переберутся за 1.5 часа – ну и черт с ними, через определенные промежутки времени пройдет “сборщик мусора” и зачистит все лишние файлы – папка для временной аутентификации будет чиста. Зато никаких дополнительных “долгоиграющих” кук и прочих заморочек с записью в файл пользователя, всевозможных инкрементов в них.

Что спорить, каждый пишет (скрипты) как хочет. И говорить, что у кого-то единственно правильное решение – не дальновидно. Надо пытаться комбинировать.

By: alexf

alexf — Fri, 09 Nov 2007 01:00:57 +0000

> Сколько надо потратить времени сервера

Микроскопическое количество времени на это уйдёт. Вообще говоря, написав про “одновременные 5000 ip” я не имел в виду, что сразу со всех ип придёт запрос. Это уже будет дос, а я всё-же писал про брутфорс. Я имел в виду, что атака пойдёт с использованием пула ип-адресов, скажем по 1 запросу в секунду, 5000 адресов переберутся за 1.5 часа. Но даже если бы 5000 запросов пришли на сервер одновременно, при условии что они не забили канал связи, не уронили сервер из-за того что кончилась память, не были отсечены ограничениями в конфигах (всё это реальные проблемы, но ДРУГИЕ проблемы), то сама по себе запись в файл прошла бы без вопросов и заняла на обычном сервере пару-тройку секунд, если же используется виртуальный диск то какую-то малую долю секунды.

By: Greignar

Greignar — Fri, 09 Nov 2007 00:43:37 +0000

А я не говорил о единственном файле для всех. Запись будет производиться в 5000 потоков в один файл пользователя. Сколько надо потратить времени сервера, чтобы открыть на запись файл, записать в него, и закрыть, я про чтение из него даже не упоминаю? Слишком много.

Не каждый может себе позволить держать “за яйца” хостера, поэтому и приходится прибегать к оптимизациям, что очень часто сказывается на конечных пользователях.

By: alexf

alexf — Thu, 08 Nov 2007 23:21:43 +0000

Greignar,
> “хакер придёт сразу с 5000 ip адресов”? Не смешите меня!!!

Я не специально, честное слово – я этот блог никого не заставляю читать насильно.

> Хорошо, в вашей схеме скрипт повесит всю аунтификацию

Не повесит.

> установив очередь (если вы ее предусмотрите) на запись

Во-первых, очередь вы сами придумали, я про неё ни слова не написал, потому что она в данном случае не нужна. Во-вторых, если бы даже она была, никаких проблем нет записать 5000 раз подряд 20 байт в 1 файл.

> в один единственный файл посетителя

Вы невнимательно прочитали – 1 файл для каждого аккаунта, а не 1 на всех посетителей или 1 на посетителя.

> НИКАКОЙ пользователь в этот момент не сможет аутентифицироваться

ВСЕ пользователи смогут аутентифицироваться нормально, включая атакованного.

> Пара таких брутфорсов и хостер попросит вас съехать или переписать скрипты.

Хостер который попросил бы меня переписать скрипты очень горько бы об этом пожалел, поскольку я имею привычку давать негативные отзывы на плохих хостеров на профильных сайтах. А хостер который роется в пользовательских скриптах, без сомнения плохой и я бы сам моментально от такого съехал.

> Боитесь брутфорса – должны использовать защиту конкретно от него.

Во-первых, я не писал что я чего-то боюсь, во-вторых, мной описана именно зашита от брутфорса.

> Самый жесткий вариант – блокирование ip, лояльный – капча.

По второму разу пускаться в объяснения у меня нет никакого желания. Перечитайте мои комментарии выше, ни то ни другое не является защитой от брутфорса.

By: Greignar

Greignar — Thu, 08 Nov 2007 22:41:20 +0000

alexf, “хакер придёт сразу с 5000 ip адресов”? Не смешите меня!!!

5000 ip адресов? Хорошо, в вашей схеме скрипт повесит всю аунтификацию, установив очередь (если вы ее предусмотрите) на запись в один единственный файл посетителя, и НИКАКОЙ пользователь в этот момент не сможет аутентифицироваться! Пара таких брутфорсов и хостер попросит вас съехать или переписать скрипты.

Боитесь брутфорса – должны использовать защиту конкретно от него. Самый жесткий вариант – блокирование ip, лояльный – капча.

By: alexf

alexf — Thu, 08 Nov 2007 16:51:35 +0000

Да, я именно что вежливо намекаю, что сказав “а”, надо сказать и “б”, иначе не стоит и начинать. А вот наездов на себя в своём блоге я терпеть не стану. Я нигде не писал, что предлагаю что-то принципиально новое, я дал полное описание работающего решения проблемы, только и всего.

By: Ed

Ed — Thu, 08 Nov 2007 16:18:43 +0000

Это ты так вежливо намекаешь, чтобы я еще вторую строчку прямо тут написал? Только после того, как ты выложишь исходники своего решения
А твое решение мало чем отличается от того, что применяется при авторизации на том же умаксфоруме или серченжинс. Ошибись 5 раз с набором пароля и будешь курить 15 минут.
Что принципиально нового ты предложил?