वीटीबी बल हमलों से एक WEB संसाधन के अनुकूल संरक्षण

WEB- संसाधनों के सामने आने वाली समस्याओं में से एक व्यक्तिगत खाता है जो एक क्रूर बल हमला है। हां, किसी विशेष खाते के लिए सभी पासवर्ड विकल्पों की एक सरल गणना। बेवकूफ? शायद, लेकिन इस तरह के हमले से संसाधन पर भारी बोझ पड़ सकता है। इसके अलावा, अगर पंजीकरण के दौरान उपयोगकर्ता के पासवर्ड की जटिलता पर कोई नियंत्रण नहीं है, तो यह सफल भी हो सकता है।

सबसे अधिक बार, इस मुद्दे को अपेक्षाकृत सरल रूप से हल किया जाता है। यदि उपयोगकर्ता ने कई बार गलत तरीके से पासवर्ड डाला है, तो उसका खाता कुछ समय के लिए अवरुद्ध हो जाता है। कैप्चा प्रदर्शित करने के लिए एक वैकल्पिक समाधान है। तुरंत, या कई असफल प्रयासों के बाद। ठीक है, चलो 2F प्राधिकरण के बारे में मत भूलो, जो लगभग अजेय है। यह प्रतीत होता है - लाभ! लेकिन, सब कुछ इतना रसपूर्ण नहीं है ...

आइए बताए गए कुछ समाधानों को देखते हैं:

अस्थायी अवरोधन - उपयोगकर्ता खाता अस्थायी रूप से अवरुद्ध है और वह सिस्टम में नहीं जा सकता है। हमले के दौरान वास्तविक उपयोगकर्ता दिल में दर्द और पीड़ा का अनुभव करता है। वह सिस्टम में नहीं जा सकता। और सबसे अधिक संभावना है कि यह आपके समर्थन को लोड करता है। और सबसे दिलचस्प बात यह है कि शायद यह हमलावर का लक्ष्य है।

कैप्चा एक अपेक्षाकृत अच्छा और प्रभावी उपाय है। सच्चाई उपयोगकर्ता के लिए असुविधाजनक है, आपको अतिरिक्त रूप से वहां कुछ दर्ज करने की आवश्यकता है। पर्याप्त "अप्रिय" डिजाइन में एम्बेड करने के लिए। ओह हाँ ... फिर भी यह बात, कार्यान्वयन पर निर्भर करते हुए, DoS हमले के अधीन हो सकती है।

2F प्राधिकरण - सब कुछ महान है। सच ... बहुधा यह एक वैकल्पिक चीज है। इसे चालू करें काउंटर पर हमला काम नहीं करेगा। वह या तो वहां है या वह नहीं है। और कुछ संसाधनों पर, 2F प्राधिकरण दर्ज करें, मान लें कि टैंक से गौरैया को गोली मार दें।

मैं सुविधाजनक और विश्वसनीय सेवाएं बनाने की कोशिश करता हूं। इसलिए, मैंने अपने दिमाग को थोड़ा तनाव देने का फैसला किया। और वही हुआ।

यदि आप मेल का उपयोग करते हैं, उदाहरण के लिए mail.ru, और आपके पास 2F प्राधिकरण स्थापित है, तो आप पहले ही देख सकते हैं कि 2F प्राधिकरण पहले लॉगिन पर केवल एक नए "डिवाइस" के लिए अनुरोध किया गया है। इसके अलावा, डिवाइस को विश्वसनीय माना जाता है। और आपको बस अपना लॉगिन और पासवर्ड दर्ज करना होगा।

सुविधाजनक बात। यूजर फ्रेंडली है, इसलिए बोलना है। यह दो टोकन द्वारा कार्यान्वित किया जाता है। पहला पहचानकर्ता "डिवाइस" (डिविड के रूप में परिभाषित) है, और दूसरा एक सत्र पहचानकर्ता (सत्र के रूप में परिभाषित) है। सत्र के विपरीत, Devid, उपयोगकर्ता द्वारा सत्र समाप्त करने के बाद भी अपनी प्रासंगिकता नहीं खोता है। यह अगले लॉगिन प्रयास पर प्रेषित किया जाता है, और यदि उपयोगकर्ता नाम / पासवर्ड सही है, साथ ही साथ भरोसेमंद, 2F अब अनुरोध नहीं है। लेकिन, अगर अगले लॉगिन का प्रयास असफल रहा, तो तुरंत खराब टोकन मृत हो जाता है। और अब आपको प्राधिकरण के पूर्ण पथ पर जाने की आवश्यकता है।

इस प्रतिमान को एक आधार के रूप में लिया गया था। यानी WEB संसाधन से किसी भी प्रतिक्रिया के साथ, निरंतर जारी किया जाएगा, जो निश्चित रूप से जारी किया गया था, अगर यह अनुरोध में नहीं था, तो प्रवेश करें।

प्राधिकरण मामले 2 एफ के लिए, उपरोक्त एल्गोरिथ्म वास्तव में लागू किया गया था। और तुरंत सभी खुश हो गए। सहित इसे विस्तार से जांचने का कोई मतलब नहीं है। लेकिन "घंटियाँ और सीटी", आरेख पर विचार करना बेहतर है, स्पष्टीकरण के साथ:



भले ही 2 एफ प्राधिकरण स्थापित नहीं है, लेकिन लॉगिन सफल रहा, फिर विश्वसनीय के रूप में चिह्नित किया गया है। ऐसा लगता है कि यह 2F प्राधिकरण के बिना ऐसा करने के लिए बहुत कम समझ में आता है। लेकिन, सब कुछ थोड़ा पेचीदा है। यदि हम जानते हैं कि विश्वास विश्वसनीय है, अर्थात उनका एक सफल लॉगिन था, हम कम से कम यह मानते हैं कि यह इस उपकरण से था जो वास्तविक उपयोगकर्ता में आया था। यह बहुत महत्वपूर्ण जानकारी है कि वर्णित एल्गोरिथ्म हमले के प्रतिबिंब मोड में अपने काम में उपयोग करता है।

एक रणनीति अपनाई गई थी: कोई भी प्राधिकरण केवल तभी हो सकता है जब एक वैध शैतान टोकन हो। एक वैध शैतान एक विश्वसनीय व्यक्ति से भिन्न होता है जिसमें यह अभी तक विश्वसनीय नहीं है, अर्थात्। इसमें कोई सफल लॉगिन नहीं था, लेकिन सिस्टम इसके साथ प्राधिकरण अनुरोधों को संसाधित करने के लिए तैयार है। प्रयासों की संख्या मान्य टोकन प्रति एन बार तक सीमित है। यदि एक प्राधिकरण त्रुटि पंक्ति में N बार से अधिक होती है, तो टोकन को "समझौता" के रूप में चिह्नित किया जाता है। यह चयन पर आंकड़ों के साथ एक अलग जर्नल में स्थानांतरित किया जाता है। उसकी भागीदारी के अनुरोधों पर कार्रवाई जारी है, लेकिन ... उसके साथ लॉग इन करना अब संभव नहीं है। सब कुछ होता है गतिविधि के आंकड़ों का संचय।

तो सबसे बेवकूफ हमले वापस लड़ते हैं। उदाहरण के लिए, यदि कोई हमलावर, डिवाइड को अनदेखा करता है, तो सिस्टम में लॉग इन करने का प्रयास करता है, या यदि वह डिवाइड के तर्क को समझ नहीं पाता है (वह कैसे जानता है कि एक ही डिवाइड के साथ कितने लॉगिन प्रयास दिए गए हैं?), उसके अनुरोधों को समाप्त कर दिया गया है।

खुद के मोर्चे को पता है कि एन समय के बाद एक लॉगिन से असफल लॉगिन प्रयास, यह पहले से ही "सड़ा हुआ" है। अब आपको अगले लॉगिन प्रयास से पहले एक नया टोकन प्राप्त करना होगा।

यह प्रतीत होता है, किस तरह की मूर्खता है? प्रवेश करने की कोशिश को पूरा करने के लिए सामने ... लेकिन, जैसा कि मैंने ऊपर कहा, सब कुछ पेचीदा है। यदि कोई उपयोगकर्ता एक मानक मोर्चे के माध्यम से काम करता है, तो वह सिस्टम पर हमला करने के लिए वास्तव में प्रयास करने की संभावना नगण्य है। उपयोगकर्ता पंजीकरण के दौरान एक पासवर्ड जटिलता नियंत्रण प्रणाली के साथ जोड़ा, यह पूरी तरह से व्यर्थ है। सबसे अधिक संभावना है, वास्तविक उपयोगकर्ता वास्तव में अपने पासवर्ड को याद रखने की कोशिश कर रहा है।

तो चाल क्या है? इस तथ्य में कि पीठ पर हम एक निश्चित समय सीमा के साथ बहुत वैध डीड उत्पन्न करते हैं। उदाहरण के लिए, प्रति मिनट 1000 पीसी से अधिक नहीं। यदि अचानक यह सीमा पार हो जाती है, तो हमला मोड कट जाता है। और यहां आप या तो मौलिक रूप से जा सकते हैं और कुछ समय के लिए विचलन उत्सर्जन को रोक सकते हैं, जो हमलावर की ललक को शांत कर देगा, या वैध डीड की पीढ़ी को कम कर देगा। और आप एक ही कैप्चा को सभी वैध, लेकिन अविश्वसनीय अविश्वास के लिए सक्षम कर सकते हैं।

इस प्रकार, हमलों को नियंत्रित करने और प्रबंधित करने के लिए एक लचीली प्रणाली प्राप्त की जाती है। विश्वसनीय मेट्रिक्स उत्पन्न होते हैं, जिसके द्वारा निगरानी को एक अलार्म बढ़ाकर ट्रिगर किया जा सकता है। संचित आंकड़ों को अवरुद्ध नियमों आदि में परिवर्तित किया जा सकता है।

एक अनुकूल प्रणाली है क्योंकि उन उपयोगकर्ताओं को जो पहले इसे में लॉग इन किया था, अर्थात। भरोसा किया है कि हमले पर भी ध्यान नहीं दिया है। उन्हें बिना किसी समस्या के सिस्टम द्वारा छोड़ दिया जाएगा।

अब लाभ यह एल्गोरिथ्म बहुत उच्च भार वाले संसाधनों पर बहुत अच्छी तरह से स्थापित है। इंटर एलिया, DoS एल्गोरिथम पर ही प्रयास कर रहे थे, लेकिन यहां भी यह योग्य साबित हुआ।