用戶必須重置密碼之前，應該有多少次拒絕登錄？

Question

我正在爲用戶創建登錄並希望確保登錄用戶足夠友好，但也將符合我們正在使用的大型企業客戶的安全標準。是否有關於用戶在被鎖定之前應該具有的登錄嘗試次數指南，並且必須重置密碼？

Answer 1

不要將用戶鎖定在網絡應用程序之外。否則黑帽將在每次鎖定期後都會追查管理員帳戶。那麼你永遠不會登錄。

請參閱Block request for multiple unsuccessful logins for a period of time以獲得更好的想法。

但是，如果你不想這樣做，PCI-DSS說：< = 6

Answer 2

有處理這幾個不同的方式。

根據應用程序的安全級別，鎖定可能有效。如果有人可以嘗試登錄賬戶3次然後將其鎖定，它也可能是拒絕服務。這真的取決於你的網站是什麼。如果是銀行，它可能需要比在線遊戲更好的鎖定政策。

有兩種選擇，通常會導致更好的結果。一個是登錄失敗時的指數退避。每次有人無法登錄時，您都會以指數速度延長退款時間。這很好，因爲它並不會真正影響用戶輸入用戶名/密碼的方式，但它會阻止攻擊者用數百萬用戶名/密碼組合試圖暴力破解。

另一個結果是在多次失敗登錄後執行驗證碼。這也允許用戶如果能證明他們是人類的話，仍然可以訪問他們的賬戶。