如何防止暴力攻擊？

Question

我正在進行身份驗證並添加蠻力保護。我不知道應該如何繼續。

我應該在15次失敗嘗試某個IP地址後做一個平坦的塊嗎？還是應該將它與用戶名綁定？是否應該有驗證碼門檻和絕對截止？

我應該遵守其他模式嗎？

Answer 1

如果有人真的在嘗試暴力行爲，那麼他可能有一系列的IP可以使用。你可以做的就是在每次嘗試後都會增加延遲時間，並使用戶名具體。 CAPTCHA可以被打（不同程度），所以放置一個驗證碼門檻，一個「緩慢的事情」門檻，然後阻止它一個小時。

請注意，暴力破解這種方式非常愚蠢，所以我會更擔心攻擊者通過注入或其他方式從數據庫獲取密碼的副本。