如何防止暴力攻击？

Question

我正在进行身份验证并添加蛮力保护。我不知道应该如何继续。

我应该在15次失败尝试某个IP地址后做一个平坦的块吗？还是应该将它与用户名绑定？是否应该有验证码门槛和绝对截止？

我应该遵守其他模式吗？

Answer 1

如果有人真的在尝试暴力行为，那么他可能有一系列的IP可以使用。你可以做的就是在每次尝试后都会增加延迟时间，并使用户名具体。 CAPTCHA可以被打（不同程度），所以放置一个验证码门槛，一个“缓慢的事情”门槛，然后阻止它一个小时。

请注意，暴力破解这种方式非常愚蠢，所以我会更担心攻击者通过注入或其他方式从数据库获取密码的副本。