nodeSolidServer / nodeSolidServer/node-solid-server
Prevent brute force attacks on login request handler
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- JavaScript
- Sterne
- 1.8k
- Forks
- 308
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Beschreibung
This question came up in https://github.com/solid/node-solid-server/pull/893#discussion_r230897425 (which is already merged).
The gist is: /lib/requests/create-account-request.js#L128 currently has no way to guard against brute force attacks.
OWASP gives some tips on how to block them. Fail2ban is popular among Sys Admins, too.
Plus, it could be an information leakage, but @megoth and @dmitrizagidulin argued, that the information would be public anyway.
Beitragsleitfaden
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Beginne in lib/requests/create-account-request.js ungefähr bei Zeile 128 und prüfe die verlinkten OWASP-Richtlinien. Ermittle die Abwehrmaßnahme und ihr testbares Verhalten bei wiederholten Anfragen, einschließlich der Frage, ob eine Antwort Kontoinformationen preisgeben könnte; als abgeschlossen gilt die Aufgabe, wenn der Handler einen vereinbarten Schutz und eine Abdeckung für dieses Verhalten hat.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- javascript
- Bereich
- authentication, security
- Issue-Typ
- Feature
- Schwierigkeit
- 5/5
- Geschätzter Aufwand
- Über eine Woche
- Aktivitätsstatus
- Veraltet
- Klarheit
- Muss geklärt werden
- Anfängerfreundlichkeit
- 25/100