Prevent brute force attacks on login request handler

Offen
#903 0 Kommentare 2 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
5/5
Geschätzter Aufwand
Über eine Woche
Anfängerfreundlichkeit
25/100
Issue-Typ
Feature
Klarheit
Muss geklärt werden
Aktivitätsstatus
Veraltet
Tech-Stack
javascript

Rechercherichtung

Beginne in lib/requests/create-account-request.js ungefähr bei Zeile 128 und prüfe die verlinkten OWASP-Richtlinien. Ermittle die Abwehrmaßnahme und ihr testbares Verhalten bei wiederholten Anfragen, einschließlich der Frage, ob eine Antwort Kontoinformationen preisgeben könnte; als abgeschlossen gilt die Aufgabe, wenn der Handler einen vereinbarten Schutz und eine Abdeckung für dieses Verhalten hat.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

security

This question came up in https://github.com/solid/node-solid-server/pull/893#discussion_r230897425 (which is already merged).

The gist is: /lib/requests/create-account-request.js#L128 currently has no way to guard against brute force attacks.

OWASP gives some tips on how to block them. Fail2ban is popular among Sys Admins, too.

Plus, it could be an information leakage, but @megoth and @dmitrizagidulin argued, that the information would be public anyway.

Vorherrschende Sprache
JavaScript
Sterne
1.8k
Forks
308
PR-Merge-Kennzahlen
Keine gemergten PRs in 30 T.

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus nodeSolidServer/node-solid-server

Alle Issues in nodeSolidServer/node-solid-server

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.