如何保护用户页面免受暴力攻击

Question

我想听听您对以下方面的建议：

我在 Tomcat 上使用 jsp 有 web-application，用户在输入登录名和密码后（两者都是自动定义的，在创建帐户后不会更改）能够进入他们的个人页面。

我想在具有用户登录 ID 的服务器上使用 ArrayList 对用户帐户进行一些保护，其中某些登录 ID 的未成功登录数量将被保留（会有线程制作金额值一段时间后为零）。

如果金额大于某个定义的值 - 阻止登录（直到清除金额）并发送给用户电子邮件链接，点击后服务器内部的金额值将设置为 0。我会努力解决这个问题，但我的问题是这种方法是否正确，这样的ArrayList 将满足需求：

List<User> users = Collections.synchronizedList(userList);

并使用同步的set 和get 方法访问它。
目的是防止暴力攻击（手动甚至服务器驱动）。

有没有办法防御访问攻击（在短时间内进行多次登录尝试）？

提前致谢。

Answer 1

我对 java 的了解不够，无法向您推荐代码。

但是，如果您可以使用 IP 地址存储请求，则可以对其设置特殊规则（如防火墙）。

比如说，当同一个 IP 在一分钟内发送 100 个请求时，你可以禁止它访问你的网站。

已经给出的一个好建议是在回答之前增加延迟。如果必须测试数百万个密码才能找到有效密码，那么您添加的每一秒都会使蛮力攻击非常耗时。

Answer 2

并使用同步的 set 和 get 方法访问它。

您究竟想如何从此类列表中获取用户？在每次登录尝试期间，您必须遍历整个列表以找到该用户，或者您始终知道数组中的确切位置，或者可能列表已排序，因此您可以使用二进制搜索，但在这种情况下，插入在复杂性方面效率低下. 此外，必须同步用户结构或要存储最新失败登录的任何位置。

恕我直言，就实现而言，最简单的解决方案之一可能是以下。请注意，在一段时间后不需要额外的线程来重置尝试次数，但是您必须在一段时间内清除最近失败登录时间超出可观察时间范围的对。以其他方式导致结构的大小增长。

ConcurrentHashMap<String, List<Long>> loginFails = new ConcurrentHashMap<>();
int ATTEMPTS_TO_FREEZE = 5;
int TIME_FRAME_IN_MINUTES = 5;

以登录为键，最后一次失败的登录列表为值。在我们的例子中，让阈值为 5。 登录前检查权限。如果 5 在最后 5 分钟内失败 -> 拒绝

List<Long> attempts = loginFails.get(login);
if (attempts != null) {
    synchronized(attempts) {
        if (attempts.size() == ATTEMPTS_TO_FREEZE 
            && attempts.peek() > System.currentTimeMillis() - TimeUnit.MINUTES.toMillis(TIME_FRAME_IN_MINUTES)) {
        //return some warning to user, that he exceeded number of attempts
        }
    }
}

登录失败后

Queue<Long> attempts = loginFails.get(login);
if (attempts == null) {
    attempts = loginFails.putIfAbsent(login, new LinkedList<Long>());
    if (attempts == null) {
        attempts = loginFails.get(login);
    }
}
synchronized (attempts) {
    attempts.add(System.currentTimeMillis());
    if (attempts.size() > ATTEMPTS_TO_FREEZE) {
        attempts.remove();
    }
}

在重置时（单击电子邮件链接后），您可以简单地使用此类登录删除条目。除了 String 键，您还可以存储 id 或其他任何东西（但要确保键类具有等于哈希码合约并且是不可变的）

另外请注意，如果有人试图破解大量登录，此方案的效率不会很高。 代码中可能存在一些错误，但我希望你明白这一点。

Answer 3

添加salt 和pepper 可以轻松防止暴力攻击。这些本质上是附加到密码和/或用户名的随机字符，这使得暴力破解成功的几率要低得多。

This 和 this 详细讨论了盐和胡椒。

This wikipedia 文章讨论了该方法的一般基础。