Come si prevengono gli attacchi di forza bruta sui servizi dati RESTful

Question

Sto per implementare un'API RESTful sul nostro sito Web (basata sui servizi di dati WCF, ma probabilmente non importa).

Tutti i dati offerti tramite questa API appartengono a determinati utenti del mio server, quindi devo assicurarmi che solo gli utenti abbiano accesso alle mie risorse. Per questo motivo, tutte le richieste devono essere eseguite con una combinazione login/password come parte della richiesta.

Qual è l'approccio consigliato per prevenire attacchi di forza bruta in questo scenario?

Stavo pensando di registrare le richieste non riuscite negate a causa di credenziali errate e ignorando le richieste provenienti dallo stesso IP dopo che una certa soglia di richieste non riuscite è stata superata. È questo l'approccio standard o mi manca qualcosa di importante?

Answer 1

Il blocco basato su IP è rischioso a causa del numero di gateway NAT disponibili.

Si potrebbe rallentare (tar pit) un client se fa troppe richieste rapidamente; cioè, inserire deliberatamente un ritardo di un paio di secondi prima di rispondere. È improbabile che gli umani si lamentino, ma hai rallentato i robot.

Answer 2

Vorrei utilizzare lo stesso approccio di un sito web. Tieni traccia del numero di tentativi di accesso non riusciti all'interno di una determinata finestra, ad esempio consenti 3 (o 5 o 15) entro un intervallo ragionevole, ad esempio 15 minuti. Se la soglia viene superata, bloccare l'account e contrassegnare l'ora in cui si è verificato il blocco. Puoi registrare anche questo evento. Dopo che è trascorso un altro periodo adatto, ad esempio un'ora, sblocca l'account (al successivo tentativo di accesso). Gli accessi riusciti ripristinano i contatori e l'ultimo tempo di blocco. Tieni presente che non esegui mai effettivamente un login su un account bloccato, ma semplicemente il login non è riuscito.

Ciò limiterà efficacemente qualsiasi attacco di forza bruta, rendendo molto improbabile il successo di un attacco contro una password ragionevole. Un attaccante, usando i miei numeri sopra, potrebbe provare solo 3 (o 5 o 15) volte per 1.25hrs. Utilizzando i tuoi registri è possibile rilevare quando un tale attacco si è verificato semplicemente cercando più lockout dallo stesso account nello stesso giorno. Poiché il tuo servizio è destinato a essere utilizzato dai programmi, una volta che il programma che accede al servizio ha le sue credenziali impostate correttamente, non si verificherà mai un errore di accesso a meno che non ci sia un attacco in corso. Questo sarebbe un altro segnale che potrebbe essere un attacco. Una volta che si è a conoscenza di un attacco in corso, è possibile adottare ulteriori misure per limitare l'accesso agli IP incriminati o coinvolgere le autorità, se appropriato, e arrestare l'attacco.