Làm cách nào để tăng tốc độ đăng nhập trong ứng dụng web Java?

Question

Tôi muốn triển khai một cơ chế hiệu quả để tăng tốc độ đăng nhập vào ứng dụng web Java của mình, để ngăn chặn các cuộc tấn công bạo lực trên tài khoản người dùng.

Jeff explained the why, but not the how.

Simon Willison cho thấy một implementation in Python for Django: Điều đó không thực sự giúp tôi cùng như tôi không thể sử dụng memcached hay Django.

Chuyển ý tưởng của mình từ đầu không có vẻ như tuyệt vời - tôi không muốn phát minh lại bánh xe.

Tôi tìm thấy một Java implementation, mặc dù nó có vẻ khá ngây thơ: Thay vì bộ nhớ cache LRU, nó chỉ xóa tất cả các mục sau 15 phút.

EHCache có thể là một thay thế cho memcached, nhưng tôi không có bất kỳ kinh nghiệm với nó và không thực sự muốn intoduce nào công nghệ khác nếu có lựa chọn thay thế tốt hơn cho nhiệm vụ này.

Vì vậy, cách tốt nhất để thực hiện điều chỉnh đăng nhập bằng Java là gì?

Answer 1

Tôi vừa hoàn thành khóa bảo mật web do bảo mật khía cạnh và một trong những đề xuất xuất phát từ đó là chỉ bao gồm độ trễ tự nhiên trong mọi nỗ lực đăng nhập - lý thuyết là 1 hoặc 2 giây sự chậm trễ không là gì đối với người dùng thực nhưng sẽ cản trở nghiêm trọng các cuộc tấn công bạo lực.

Answer 2

Tôi nghĩ rằng ngay cả EHCache cũng đang giết chết một quả bom bằng bom napalm. Vấn đề là đơn giản và như vậy là việc thực hiện.

Tôi khuyên bạn nên sử dụng bộ lọc servlet ở mức cao nhất để có thể xử lý ít nhất có thể.

Tạo một lớp để lưu trữ như sau:

• Số nỗ lực (count)
• Thời gian

Bây giờ, mã này là đơn giản trong một khối sunchronized:

if userid not in attemptMap: 
    attemptMap.add (userid, new attemptItem (userid, 1, now)) 
else 
    tmp = attemptMap.get (userid) 
    if (acquire lock for tmp) : 
     if tmp.time + 30 > now : 
      tmp.count = 0 
      tmp.time = now 
     tmp.count++ 
     if tmp.count > 3 : 
      error=true 
     release lock for tmp 
    else : error=true 

thats it man (miễn là mã được đồng bộ hóa).

Answer 3

Tôi đã sử dụng trường Số lần thử đăng nhập với chi tiết người dùng. Khi đến 50, mật khẩu chính xác bị từ chối và người dùng phải thực hiện đặt lại mật khẩu.

Answer 4

Điều gì về sự gia tăng theo hàm mũ giữa thời gian đăng nhập?

Answer 5

Một mà chưa được đề cập là làm cho họ trả lời câu hỏi quên mật khẩu (s) sau rất nhiều nỗ lực xấu + nhập mật khẩu của họ

Answer 6

EHCache là khá tốt, và quan trọng hơn Không Written By You, vì vậy bạn don không phải reimplement các tính năng và có thể làm cho họ sai.

Giải pháp của tôi sẽ liên quan đến EHCache hoặc đơn giản hơn (nếu đó là một ứng dụng nhỏ và tôi thực sự không quan tâm đến hiệu năng đồng thời) trong mã đăng nhập.

Bạn sẽ lưu trữ, trên mỗi IP, số lượng lỗi và dấu thời gian.

• Mỗi lần bạn cố gắng đăng nhập, hãy tập luyện xem họ có được phép sử dụng số không và dấu thời gian không.
• Mỗi khi bạn thực hiện một lần đăng nhập được phép và không thành công, hãy tăng số lần không thành công lên 1 và ghi lại thời gian không thành công.
• Mỗi lần bạn thực hiện một lần đăng nhập được phép và xóa thành công thông tin cho IP đó.

Answer 7

Duy trì số lần đăng nhập sai và nếu nó đạt đến N, hãy chặn người dùng và yêu cầu đặt lại hình ảnh xác thực hoặc đặt lại mật khẩu để tiếp tục.