ঠিক আছে, পর্যাপ্ত স্টলিং; আমি এখন পর্যন্ত যা নিয়ে এসেছি তা এখানে
(দুঃখিত, দীর্ঘ পোস্ট এগিয়ে। সাহসী হন, বন্ধু, যাত্রা এটি মূল্যবান হবে)
মূল পোস্ট থেকে 3 এবং 4 পদ্ধতিগুলিকে এক ধরণের 'ফাজি' বা গতিশীল শ্বেত তালিকাতে মিশ্রণ করা এবং তারপরে - এবং কৌশলটি এখানে রয়েছে - নন-হোয়াইটলিস্টযুক্ত আইপিগুলিকে অবরুদ্ধ করে না, কেবল তাদেরকে নরকে ও পিছনে নিয়ে যাওয়া ।
মনে রাখবেন যে এই পরিমাপটি কেবলমাত্র এই খুব নির্দিষ্ট ধরণের আক্রমণকে ব্যর্থ করার জন্য। অনুশীলনে, অবশ্যই, এটি প্রমাণের অন্যান্য সেরা-অনুশীলনের পদ্ধতির সাথে মিশ্রণে কাজ করবে: স্থির-ব্যবহারকারীর নাম থ্রোটলিং, প্রতি-আইপি থ্রোটলিং, কোড-এনফোর্সড শক্তিশালী পাসওয়ার্ড নীতি, অক্ষরযুক্ত কুকি লগইন, সংরক্ষণের আগে সমস্ত পাসওয়ার্ডের সমতুল্য হ্যাশিং সুরক্ষা প্রশ্ন ইত্যাদি ব্যবহার করা
আক্রমণ পরিস্থিতি সম্পর্কে অনুমান
যদি কোনও আক্রমণকারী চলক ব্যবহারকারীর নামগুলি লক্ষ্য করে থাকে তবে আমাদের ব্যবহারকারীর নাম থ্রোটলিং আগুন দেয় না। আক্রমণকারী যদি বোটনেট ব্যবহার করে বা একটি বৃহত আইপি পরিসরে অ্যাক্সেস পেয়ে থাকে তবে আমাদের আইপি থ্রোটলিং শক্তিহীন। যদি আক্রমণকারী আমাদের ব্যবহারকারী তালিকাটি প্রাক-স্ক্র্যাপ করে থাকে (সাধারণত ওপেন-নিবন্ধকরণ ওয়েব পরিষেবাদিতে সম্ভব) তবে আমরা 'ব্যবহারকারীর সন্ধান পেল না' ত্রুটির সংখ্যার ভিত্তিতে চলমান আক্রমণ সনাক্ত করতে পারি না। এবং যদি আমরা থ্রোটলিংকে একটি সীমাবদ্ধ সিস্টেম-ব্যাপী (সমস্ত ব্যবহারকারীর নাম, সমস্ত আইপি) প্রয়োগ করি, তবে এই জাতীয় কোনও আক্রমণ আক্রমণটির সময়কাল এবং থ্রোটলিংয়ের সময়কালের জন্য আমাদের পুরো সাইটটিকে ডস করবে।
সুতরাং আমাদের অন্য কিছু করা দরকার।
পাল্টা মিটারের প্রথম অংশ: শ্বেত তালিকাভুক্ত
আমরা যে বিষয়ে মোটামুটি নিশ্চিত হতে পারি, তা হ'ল আক্রমণকারী আমাদের কয়েক হাজার ব্যবহারকারীর (+) আইপি ঠিকানাগুলি সনাক্ত করতে এবং গতিশীলভাবে ছদ্মবেশী করতে সক্ষম নন। যা হোয়াইটলিস্টিংকে সম্ভবপর করে তোলে । অন্য কথায়: প্রতিটি ব্যবহারকারীর জন্য, আমরা (হ্যাশড) আইপিগুলির একটি তালিকা সংরক্ষণ করি যেখানে ব্যবহারকারী আগে (সম্প্রতি) লগইন করেছেন।
সুতরাং, আমাদের শ্বেত তালিকাটি একটি লক করা 'সামনের দরজা' হিসাবে কাজ করবে, যেখানে কোনও ব্যবহারকারীকে লগইন করার জন্য অবশ্যই তার স্বীকৃত 'ভাল' আইপিগুলির মধ্যে একটি থেকে সংযুক্ত থাকতে হবে। এই 'সামনের দরজায়' একটি বর্বরোচিত আক্রমণ কার্যত অসম্ভব (+) হবে।
(+) আক্রমণকারী সার্ভার, আমাদের সমস্ত ব্যবহারকারীর বাক্স, বা সংযোগ নিজেই যদি 'মালিকানা' না দেয় - এবং এই ক্ষেত্রে আমাদের আর 'প্রমাণীকরণ' সমস্যা নেই, আমাদের কাছে একটি আসল ভোটাধিকারের আকারের টান নেই প্লাগ FUBAR পরিস্থিতি
পাল্টা মাপের দ্বিতীয় অংশ: অজানা আইপিগুলির সিস্টেম-ব্যাপী থ্রোল্টলিং
একটি ওপেন-রেজিস্ট্রেশন ওয়েব সার্ভিসের জন্য একটি শ্বেত তালিকা তৈরি করার জন্য, যেখানে ব্যবহারকারীরা ঘন ঘন কম্পিউটারগুলি স্যুইচ করে এবং / অথবা ডায়নামিক আইপি অ্যাড্রেসগুলি থেকে সংযুক্ত হন, অবিজ্ঞাত আইপি থেকে সংযুক্ত ব্যবহারকারীদের জন্য আমাদের একটি 'বিড়াল দরজা' খোলা রাখতে হবে। কৌশলটি সেই দরজাটি ডিজাইন করা যাতে বোটনেট আটকে যায় এবং তাই বৈধ ব্যবহারকারীরা যতটা সম্ভব সামান্য বিরক্ত হন ।
আমার পরিকল্পনা, এই একটি সেটিং করে এটা করা যায় খুব বেশি অননুমোদিত আইপিগুলি দ্বারা ব্যর্থ লগইন করার প্রচেষ্টা নিয়ন্ত্রণমূলক সর্বোচ্চ সংখ্যক বলে, একটি 3 ঘণ্টার কাল, (এটা সেবা ধরনের উপর নির্ভর করে একটি সংক্ষিপ্ত বা আর সময়ের ব্যবহার করতে তিমিরে হতে পারে) এবং যে নিষেধাজ্ঞাকে বিশ্বব্যাপী তৈরি করে । সমস্ত ব্যবহারকারীর অ্যাকাউন্টের জন্য।
এমনকি এই পদ্ধতিটি ব্যবহার করে দ্রুত এবং কার্যকরভাবে একটি ধীর (প্রয়াসগুলির মধ্যে 1-2 মিনিট) ব্রুট ফোর্স সনাক্ত করা হবে এবং ব্যর্থ করা হবে। অবশ্যই, একটি সত্যই ধীর ব্রুটি ফোর্স এখনও অবহেলিত থাকতে পারে, তবে খুব ধীর গতিতে ব্রুট ফোর্স আক্রমণের খুব উদ্দেশ্যকে পরাস্ত করে।
এই থ্রটলিং মেকানিজমটি দিয়ে আমি কী অর্জন করার আশাবাদী তা হ'ল সর্বাধিক সীমাটি পৌঁছে গেলে আমাদের 'বিড়াল দরজা' কিছুক্ষণের জন্য বন্ধ হয়ে যায়, তবে আমাদের সামনের দরজাটি বৈধ ব্যবহারকারীদের জন্য সাধারণ উপায়ে সংযুক্ত রয়েছে:
- হয় তাদের কোনও স্বীকৃত আইপি থেকে সংযুক্ত হয়ে
- অথবা অবিচ্ছিন্ন লগইন কুকি ব্যবহার করে (যে কোনও জায়গা থেকে)
আক্রমণের সময় প্রভাবিত হবে এমন একমাত্র বৈধ ব্যবহারকারী - যেমন। থ্রোটলিং সক্রিয় হওয়ার সময় - এমন ব্যবহারকারীরা ছিলেন যাঁরা অজানা অবস্থান থেকে বা ডায়নামিক আইপি দিয়ে লগইন করেছিলেন অবিচ্ছিন্ন লগইন কুকিজ ছাড়াই। এই ব্যবহারকারীরা থ্রোল্টলিং না হওয়া পর্যন্ত লগইন করতে পারবেন না (আক্রমণকারী যদি থ্রোটলিংয়ের পরেও যদি তার বোটনেট চালিয়ে রাখে তবে সম্ভবত এটি কিছুটা সময় নিতে পারে)।
ব্যবহারকারীদের এই ক্ষুদ্র উপসেটটি অন্যথায় সিল করা বিড়াল দরজা দিয়ে চেপে ধরার অনুমতি দেওয়ার জন্য, যদিও বটগুলি এখনও এটির হাতুড়ে ছিল, আমি একটি ক্যাপচায় একটি 'ব্যাকআপ' লগইন ফর্মটি নিযুক্ত করব। সুতরাং, যখন আপনি "দুঃখিত, তবে আপনি এই মুহুর্তে এই আইপি ঠিকানাটি থেকে লগইন করতে পারবেন না" বার্তাটি প্রকাশ করেন, এমন একটি লিঙ্ক অন্তর্ভুক্ত করুন যা " সুরক্ষিত ব্যাকআপ লগইন - কেবলমাত্র হিউম্যানস ( বটস: মিথ্যা নয় ) " বলে থাকে। রসিকতা সরান, যখন তারা সেই লিঙ্কটি ক্লিক করেন, তাদের সাইট-ওয়াইড থ্রোটলিংকে বাইপাস করে এমন একটি পুনর্বিবেচনা-প্রমাণীকরণযুক্ত লগইন ফর্ম দিন। এইভাবে, যদি তারা মানব হয় এবং সঠিক লগইন + পাসওয়ার্ড জানতে পারে (এবং ক্যাপচা পড়তে সক্ষম হয়) তবে তারা কখনও পরিষেবা অস্বীকার করবে না , এমনকি যদি তারা অজানা হোস্টের সাথে সংযোগ স্থাপন করে এবং অটোলজিন কুকি ব্যবহার না করে।
ওহ, এবং কেবল স্পষ্ট করে বলার জন্য: যেহেতু আমি ক্যাপচাগুলিকে সাধারণভাবে মন্দ বলে বিবেচনা করি তাই থ্রোটলিং সক্রিয় থাকাকালীন 'ব্যাকআপ' লগইন বিকল্পটি কেবল তখনই উপস্থিত হত ।
অস্বীকার করার উপায় নেই যে এর মতো একটি টেকসই আক্রমণ এখনও ডস আক্রমণের একটি রূপ গঠন করবে, তবে বর্ণিত সিস্টেমের জায়গায় এটি কেবল প্রভাবিত করবে যা আমি ব্যবহারকারীদের ক্ষুদ্র উপসেট হিসাবে সন্দেহ করি, যেমন লোকেরা ব্যবহার করে না "আমাকে মনে রাখুন" কুকি এবং আক্রমণ হওয়ার সময় লগ ইন করার ঘটনা ঘটে এবং তাদের কোনও সাধারণ আইপি থেকে লগ ইন করে না এবং যারা ক্যাপচা পড়তে পারে না। কেবলমাত্র যারা এই সমস্ত মানদণ্ডকেই না বলতে পারেন - বিশেষত বট এবং সত্যই দুর্ভাগ্য প্রতিবন্ধী - তাদের বট আক্রমণের সময় ফিরিয়ে দেওয়া হবে।
সম্পাদনা: বাস্তবে, আমি ক্যাপচা-চ্যালেঞ্জপ্রাপ্ত ব্যবহারকারীদের একটি 'লকডাউন' চলাকালীন সময় দেওয়ার উপায়ের কথা ভেবেছিলাম : ব্যাকআপ ক্যাপচ্যা লগইনের পরিবর্তে বা তার পরিপূরক হিসাবে ব্যবহারকারীকে একক ব্যবহারের বিকল্প সরবরাহ করতে পারে , ব্যবহারকারী-নির্দিষ্ট লকডাউন কোডটি তার ইমেলটিতে প্রেরণ করা হয়েছে, যা তিনি থ্রোটলিংকে বাইপাস করতে ব্যবহার করতে পারেন। এটি অবশ্যই আমার 'বিরক্তি' থ্রেশহোল্ডকে অতিক্রম করবে, তবে এটি কেবলমাত্র ব্যবহারকারীদের ক্ষুদ্র উপসেটের জন্য সর্বশেষ অবলম্বন হিসাবে ব্যবহৃত হয়েছে এবং এটি এখনও আপনার অ্যাকাউন্ট থেকে লক হয়ে যাওয়ার কারণে এটি গ্রহণযোগ্য হবে।
(এছাড়াও, মনে রাখবেন কেউই এই কিছু ঘটে তাহলে আক্রমণ কদর্য বিতরণ সংস্করণ আমি এখানে বর্ণনা করেছি তুলনায় কোন কম অত্যাধুনিক হয়। হামলার মাত্র কয়েক আইপিগুলি থেকে আসছে বা মাত্র কয়েক ব্যবহারকারীর নাম আঘাত, এটা অনেক আগেই খর্ব করা হবে না , এবং কোনও সাইট-ব্যাপী ফলাফল সহ)
সুতরাং, আমি আমার প্রমাণ গ্রন্থাগারে এটাই পাল্টা ব্যবস্থা প্রয়োগ করব, একবার যদি আমি নিশ্চিত হয়ে যাই যে এটির শব্দটি খুব ভাল সমাধান না হয়ে গেছে যে আমি মিস করেছি। সত্যটি হ'ল, সুরক্ষায় কিছু ভুল করার অনেক সূক্ষ্ম উপায় রয়েছে এবং আমি মিথ্যা অনুমান বা আশাহীন ত্রুটিযুক্ত যুক্তি তৈরি করার aboveর্ধ্বে নই। সুতরাং দয়া করে, যে কোনও এবং সমস্ত প্রতিক্রিয়া, সমালোচনা এবং উন্নতি, সূক্ষ্মতা ইত্যাদি অত্যন্ত প্রশংসা করা হয়।