暴力攻击asp.net中的故障安全登录

Question

我刚刚读到一篇文章说7个字符的密码不再安全。但是，如果服务器增加每次登录尝试后重试登录的时间，那么暴力攻击就没用了。如何在 ASP.NET 中创建这样的逻辑？不知怎的，我猜服务器端代码需要记住尝试登录的IP地址，并且应该增加每次新尝试的响应时间？

Answer 1

IP 地址并不是真正识别用户的安全方法。您可以尝试将上次提交的登录尝试存储在 cookie 中，但如果浏览器不接受它们，那么它的用途将受到限制。会话变量也需要cookie，所以它们已经被淘汰了。

有些网站（我想到的是雅虎）在第三次左右尝试后开始显示验证码表单。除了您的登录详细信息之外，您还必须正确回答验证码。

另一种选择是在 X 次尝试失败后禁用帐户（可以在您的数据库中进行跟踪），但我个人不喜欢这样做，因为每当我忘记密码时，它往往会迫使我打电话给某人来重置我的密码。

Answer 2

许多暴力攻击都是离线发生的。这就是为什么尝试失败的锁定不能替代复杂的密码、使用适当的“盐”和密钥强化的原因。

Answer 3

ASP.NET 有一个内置机制来防止针对登录密码的暴力攻击。
请参阅 maxInvalidPasswordAttempts 成员身份属性 。

恕我直言，7 个字符的密码完全适合大多数 Web 应用程序（我的银行允许 7 个字符的密码），前提是遵循安全最佳实践，例如安全地散列密码和阻止暴力攻击。

一旦您获得超过 7 或 8 个字符的密码，您实际上是在说“我的应用程序需要超级安全”，在这种情况下，您应该考虑单独的客户端 SSL 证书。要求密码中包含更多字符会带来收益递减。您有多少用户能够记住复杂的 8 或 9 个字符的密码？他们最终把它们写下来。就我个人而言，任何要求我创建超级复杂密码的网站都会拒绝我。

只要正确设置，ASP.NET 会员资格就会为您完成大部分有关安全性的艰苦工作。

但是，ASP.NET 成员资格无法为您做一些事情，例如：

• 确保使用 HTTPS
• 防止 CSRF 和类似攻击
• 确保所有 Web 请求都路由到 ASP.NET，以防止 IIS 提供静态内容并绕过 ASP。 NET 身份验证
• 检查用户是否为人类 (CAPTCHA)

有关安全最佳实践的更多信息，我将查看 OWASP

Answer 4

您可能需要担心至少三种攻击：

• 针对特定用户的针对性攻击。您希望让攻击者的登录更加困难，但又不会困难太多。验证码就足够了（但如果登录页面上没有显示密码，则不要让用户再次输入密码）。
• 对众多用户进行大规模攻击。锁定单个用户有点毫无意义，因为攻击者可以尝试（比如说）3 个密码，然后转移到另一个帐户。每个 IP 的验证码可能就足够了，但您可能还想对每个 IP 进行速率限制（或用于白名单代理列表的 X-Forwarded-For）。这取决于攻击者僵尸网络的规模；足够大的僵尸网络可以将攻击分散到多个机器人/站点上，以便每个站点从每个 IP 获得较低的速率。
• 对密码数据库的离线攻击。在这种情况下，即使有一个好的散列，您也至少需要大约 50 位的熵（NTLM 使用 MD4 的单个调用，这不是一个好的散列），这是您无法在相对的情况下获得的。普通 8 个字符的密码（8 log₂(94) 仅是 52.4）。

您可以将每个 IP 的尝试次数存储到树中，然后将树的密集部分分组在一起。然后将其分桶（每 10 分钟构建一棵新树，将旧树再保留 10 分钟）。这可能有一个错误的假设，即相邻 IP 可能会表现出类似的行为，但会优雅地降级为仅将 IPv4 聚集到（例如）/24 中。

如果您感觉特别慷慨，您可以在登录时存储一个单独的 cookie，在注销时不会清除该 cookie，并在数据库中保存一个副本（128 位随机值应该足够了）。在尝试登录时，如果浏览器提供了正确的 cookie，请对浏览器“更好”（例如，允许对该 cookie 进行 3 次尝试，而不计算每个 IP 或每个用户的失败率）。这意味着即使用户的帐户被暴力破解，用于访问该帐户的最后一台计算机也不会显示验证码。

一般来说，谈论密码熵比谈论密码长度和“字符类型”更有用——我很确定几乎每个人都只是将第一个字母大写并在末尾添加一个 1。我还没有看到任何“人类友好”的密码生成器也声明密码熵。