Я разрабатываю простую регистрационную форму в ASP.net MVC 1.0. Я хочу разрешить проверку имени пользователя во время ввода пользователем (согласно связанным вопросам, связанным с ниже)
Это все достаточно легко. Но каковы последствия такой функции для безопасности?
Как мне избежать злоупотреблений со стороны людей, которые очищают это, чтобы определить список допустимых имен пользователей?
Чтобы предотвратить «злонамеренные» действия с некоторыми из моих внутренних материалов ajax, я добавляю две переменные GET, одна из которых — это дата (обычно в эпохе), затем я беру эту дату, добавляю соль и SHA1, а также публикую это, если дата ( при повторном хешировании) не соответствует хэшу, тогда я отбрасываю запрос, в противном случае выполняю его.
Конечно, я делаю шифрование до того, как страница будет отображена, и передаю хэш и дату в JS. В противном случае это было бы бессмысленно.
Проблема с использованием ограничений на основе IP/cookie заключается в том, что их можно обойти. Использование метода токена с хорошей, криптографически сильной солью (скажем, что-то вроде одного из «идеальных паролей» Стива Гибсона https://www.grc.com/passwords.htm ) потребуется ОГРОМНОЕ количество времени (в масштабе десятилетий), прежде чем метод можно будет надежно предсказать и обеспечить определенную безопасность.
вы можете ограничить количество запросов, возможно, 2 за 10 секунд или около того (настоящий пользователь может ввести занятое имя, немного изменить его и повторить попытку). вроде того, как SO не позволяет вам комментировать чаще, чем раз в 30 секунд.
если вы действительно беспокоитесь об этом, вы можете воспользоваться методом, описанным выше, и подсчитать, сколько раз они пытались за определенный период времени, и, если это превысит пороговое значение, выгнать их на другую страницу.
Подтверждено как: «Это имя пользователя уже занято»? Если вы ограничите количество запросов в секунду, это должно помочь
Один из распространенных способов решить эту проблему — просто добавить задержку в запрос. Если запрос отправлен на сервер, подождите 1 (или более) секунд, чтобы ответить, а затем ответьте с результатом (если имя допустимо или нет).
Добавление временного барьера на самом деле не влияет на пользователей, которые не пытаются парсить, и вы бесплатно получили ограничение в 60 запросов в минуту.
Опираясь на ответ, предоставленный UnkwnTech, это довольно солидный совет.
Вы можете сделать еще один шаг и заставить клиента выполнить некоторые вычисления для создания возвращаемого хэша — это может быть просто простая арифметика, такая как вычитание нескольких чисел, добавление данных и умножение на 2.
Добавленная арифметика означает, что встроенный сценарий очистки имени пользователя вряд ли будет работать и вынуждает клиента использовать больше ресурсов ЦП.
