yeti
2017-04-05 20:35:44 UTC
Einige Websites sperren einen Benutzer nach einer Reihe falscher Kennwortversuche, beispielsweise für 15 Minuten. Wenn ein böswilliger Akteur dies weiß, kann er absichtlich versuchen, sich alle 15 Minuten mit falschen Passwörtern anzumelden, um zu verhindern, dass sich die reale Person anmeldet? Ist dies eine echte Bedrohung und wenn ja, wie können Websites davor schützen?
Ich habe eine Website gesehen, die den Benutzer sperrt, bis er auf einen Link in seiner E-Mail klickt.
Als ich in der High School war, hat die NT-Domain Sie nach 3-5 falschen Versuchen für 15 bis 20 Minuten gesperrt, und die Benutzernamen basierten auf den tatsächlichen Namen der Leute.Wenn Sie wissen, wie Sie die Tastenanschläge zum Abmelden eingeben müssen (Strg-Alt-Entf, L, Eingabe), können Sie das Konto einer Person auf Ihrem eigenen Computer sperren, hinter ihn treten, nach ihm greifen und ihn abmelden, bevor er reagieren kann.
Die meisten Online-Banking-Websites, für die ich das "Vergnügen" hatte, scheinen dafür anfällig zu sein.Nach 3 fehlgeschlagenen Versuchen wird das Konto dauerhaft gesperrt.Sie müssen zur Bank gehen und persönlich die Wiedereröffnung beantragen - sie erheben keine Gebühren dafür, aber es ist ein Ärger.Angesichts der Tatsache, dass es sich um Finanzen handelt, könnte man argumentieren, dass dies in Ordnung ist.ABER in fast ALLEN Banken, die ich in der ersten Bar verwendet habe, ist der Benutzername NUR eine Nummer.Eine böswillige Person könnte sehr leicht Konten links und rechts für die "lolz" sperren.
@Shaamaan Vor ein paar Jahren bin ich darauf gestoßen, habe aber festgestellt, dass ich mich tatsächlich falsch an meinen Benutzernamen erinnert habe, also habe ich jemand anderen unbeabsichtigt ausgesperrt.
Dies geschieht mit beliebten RuneScape-Streamern.Das System sperrt Sie nach zu vielen falschen Anmeldeversuchen.
Auf meinen sehr kleinen Webservern (denken Sie an 300-400 Benutzer * top *) mache ich im Allgemeinen automatisierte, aber IP-basierte permanente Sperren.Es scheint für meine gelegentlichen Anwendungsfälle ausreichend zu sein, und ich glaube, dass ich in den letzten 6 Jahren nur 3 oder 4 Personen manuell entsperren musste.
Ich habe Produktionssysteme heruntergefahren, indem ich versehentlich versucht habe, mich mit falschen Passwörtern bei Systemkonten anzumelden.Beachten Sie Folgendes, wenn Sie eine Kontosperrungsrichtlinie für Systemkonten erstellen.:) :)
@Shaamaan Und eine bestimmte Bank, die unbenannt bleiben soll, hatte es noch schlimmer, die Benutzer wurden * fortlaufend * nummeriert, so dass jeder die gesamte Bank mit ein bisschen Scripting sperren konnte.
Die Apple-ID-Site sperrt Sie nach wiederholten fehlgeschlagenen Anmeldeversuchen. Wenn Sie über eine 2-Faktor-Authentifizierung verfügen, müssen Sie über den Wiederherstellungscode verfügen, den Sie beim ersten Einrichten des 2FA erhalten haben.Wenn Sie dies nicht haben, verlieren Sie den Zugriff auf Ihr Konto.
Nach meiner eigenen Erfahrung wurde dies vor 5 bis 8 Jahren als "Einfrieren" von Konten bezeichnet, und insbesondere viele Websites in Spielegemeinschaften waren dafür anfällig.Viele nutzten dies als Ärger für Rivalen / Feinde.
@Shaamaan Mit meiner Bank kann ich meinen Benutzernamen auswählen (und ändern).Ich benutze zu diesem Zweck einen Passwort-Manager.Der Benutzername gehört zur gleichen Entropieklasse wie das Passwort (16 Zeichen lang).Es ist unwahrscheinlich, dass ich ausgesperrt werde.
@TannerSwett seit wann hatten Systemkonten Passwörter oder Anmeldungen?
Dies wird als Denial-of-Service-Angriff (DOS) bezeichnet und ist in der Tat eine echte Bedrohung.
@emory Gut für dich!Nicht jeder hat so viel Glück.In einer meiner Banken können die Benutzer einen Alias auswählen, der bei der Anmeldung hilft. Leider wird der von ihnen zugewiesene numerische Benutzername dadurch nicht entfernt.