PHPでのユーザーログインの試行を制限する

Question

ユーザーのログイン試行に制限のあるWebアプリケーションを見たことがあります。

セキュリティの必要性はありますか？その場合、なぜですか？例えば

：あなた持っていた3回の失敗したログイン試行、のは10分後にもう一度試してみましょう！

Answer 1

明確化これは他の回答の補完です。たとえば、セッションを使用してanti-bruteforceメカニズムと一緒に良い実装のcaptchaを使用する。
質問者は、キャプチャがコンピュータによって読み取れないことを前提としていると承知しています（彼女はほぼです）ので、人々はそれが完全な答えではないと思っているので、

---

も良い実装CAPTCHAを使用すると、ブルートフォース攻撃に対するアプリケーションのセキュリティをenpowerする別の方法である可能性があります。あなたが急いでいるなら、無料で利用できるwide variety of captcha providersがあります。簡単な方法を試してみましょう。またpeople outtaにはがあることを考慮してください。「ああ、いけない！このcaptchaのものは安全ではなく、時には正しい！」。

「あなたが知らない人のために、CAPTCHAは、ユーザーが人間であるか別のコンピュータであるかを判断できるプログラムです。登録時に翻訳される歪んだテキストの小さな画像ですGmailのために、または誰かのブログにコメントを残すことを目的としています。その目的は、コンピュータを使用して何百万ものオンラインアカウントに自動的にサインアップしないようにすることです。 "ref。

Answer 2

あるブルートフォースを防ぐ方法多くのウェブサイト上で行われる試行の制限は、（自動化）あなたのサイトを攻撃します。これらの試行を制限しないと、ハッカーはパスワードを見つけるまでパスワードを推測し続けるスクリプトを設定することができ、これがWebサーバーの可用性に影響する可能性があります。

通常、3回の試行後にユーザーを退席させ（前述のとおり10分）、6回または9回連続して試行した後にユーザーをロックして、アカウントのロックを解除します。これは、誰かがあなたのタイムアウトを調整するためにスクリプトを修正できるので、配置されます。以下のように、ボットや辞書ファイルを使用して - - ちょうどアカウントのパスワードを推測しようとしている誰かまで

Answer 3

はい、それは洗練されたブルートフォース攻撃からアカウントを保護する必要があります。

Answer 4

、ユーザーが自分のパスワードを設定することができた場合は、いくつかのボット/子供は、共通のパスワードのリストを使用してログインしようとすると、成功します。ユーザーが知らない場合は、admin、simon、ricoなどの一般的な名前を使用します。

Cookieやクエリを削除するだけでセッションにユーザーをフラグするのは役に立ちません。彼らの最後にparam。 IPとログイン名の両方に失敗したログイン試行の回数が必要です。おそらく、IPを多くのユーザーが共有できるようになるにつれて、IPをより寛容にするかもしれません。

Answer 5

自分のプロジェクトでは、このようなことを処理する一般的な 'floodcontrol'ライブラリを作成しました。

Xの時間内に試行できる試行回数を指定することができます。短時間で一定数の「猶予」を許して、本当に異常な振る舞いしか捉えられないようにします。

私は、データベース内のいくつかの記録：「検索」、

• IPアドレス（またはそれの最初の24ビット）
• （すなわち、「ログイン」しようとした行動を、各試行のための「コメント」）
• 試みの試み
• 番号（試行カウンタ）

の時間は、私は部分的なIPアドに対​​してクエリ作らそして以前の試みが特定の時間内に行われた場合は、その試みの試行カウンタを増やします。試行カウンタが許可された猶予回数を超えた場合、最後の試行がX秒以内であったかどうかをチェックし、そうであればfalseを返します。したがって、アクションはブロックされます。再び）。試行カウンターが猶予試行回数を下回っている場合は、真を返してスライドさせます。

同じIPを持つ人が後で来る場合、前回の試行回数はそれほど前に取得されるため、取得されません。

Answer 6

私は指数関数的に失敗し、各ログイン試行、ロックアウト時間が増加...のために...一度

をこれに創造的なアプローチを見ました。

attempt | lockout time 
====================== 
    1 |  2s 
    2 |  4s 
    3 |  8s 
    4 | 16s 
    5 | 32s 
    6 | 64s 
    7 | 128s 
    8 | 256s 
    9 | 512s 
    10 | 1024s 

は理論的には、ユーザが誤っまたは2、しかし、すぐに「ハッキング」の試みになるために表示されているとおり、ハッカーが長く、長い期間のためにロックアウトされますを行うことができます。

私はこれをまだ使っていませんが、概念的にはかなりアイデアが好きです。もちろん、ログインに成功すると、カウンタはリセットされます。

Answer 7

DBに「失敗した試行回数」カウンタを入れることは、最も安全かつ簡単な方法です。そうすれば、ユーザーはそれをバイパスすることはできません（クッキーを無効にすることによって）。もちろん、ログイン成功時にリセットします。

Answer 8

正しいログイン後に失敗した試行をリセットすると、システム全体が役に立たなくなります。

登録ユーザーは誰かのアカウントとパスワードで3つの推測を行い、次に自分自身でログインしてカウンタをリセットし、繰り返すことができます。これは自動化することもできます。そのため、通常の登録ユーザーは、たとえば管理者パスワードを強制的に使用できます。

リセットは管理者が行う必要があり、単にログインするだけでは不十分です。