nodeSolidServer / nodeSolidServer/node-solid-server
Prevent brute force attacks on login request handler
Nessuno ha ancora preso questa issue.
- Lingua principale
- JavaScript
- Stelle
- 1.8k
- Fork
- 308
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Descrizione
This question came up in https://github.com/solid/node-solid-server/pull/893#discussion_r230897425 (which is already merged).
The gist is: /lib/requests/create-account-request.js#L128 currently has no way to guard against brute force attacks.
OWASP gives some tips on how to block them. Fail2ban is popular among Sys Admins, too.
Plus, it could be an information leakage, but @megoth and @dmitrizagidulin argued, that the information would be public anyway.
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Direzione di ricerca
Inizia da lib/requests/create-account-request.js intorno alla riga 128 e rivedi le linee guida OWASP collegate. Determina la mitigazione e il suo comportamento verificabile per le richieste ripetute, incluso se una risposta potrebbe divulgare informazioni sull’account; il lavoro è completato quando l’handler dispone di una protezione concordata e di una copertura per tale comportamento.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Valutazione
- Stack tecnologico
- javascript
- Ambito
- authentication, security
- Tipo di issue
- Funzionalità
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Stato di attività
- Ferma
- Chiarezza
- Da chiarire
- Idoneità per principianti
- 25/100