nodeSolidServer / nodeSolidServer/node-solid-server
Prevent brute force attacks on login request handler
Ninguém assumiu esta issue ainda.
- Linguagem predominante
- JavaScript
- Estrelas
- 1.8k
- Forks
- 308
- Métricas de merge de PRs
- Nenhum PR com merge em 30d
Descrição
This question came up in https://github.com/solid/node-solid-server/pull/893#discussion_r230897425 (which is already merged).
The gist is: /lib/requests/create-account-request.js#L128 currently has no way to guard against brute force attacks.
OWASP gives some tips on how to block them. Fail2ban is popular among Sys Admins, too.
Plus, it could be an information leakage, but @megoth and @dmitrizagidulin argued, that the information would be public anyway.
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Direção de pesquisa
Comece em lib/requests/create-account-request.js por volta da linha 128 e revise a orientação da OWASP vinculada. Determine a mitigação e seu comportamento testável para solicitações repetidas, incluindo se alguma resposta poderia vazar informações da conta; considera-se concluído quando o handler tiver uma proteção acordada e cobertura para esse comportamento.
Escrita pelo modelo de indexação a partir do texto da issue.
Avaliação
- Stack de tecnologia
- javascript
- Domínio
- authentication, security
- Tipo de issue
- Funcionalidade
- Dificuldade
- 5/5
- Tempo estimado
- Mais de uma semana
- Status de atividade
- Estagnada
- Clareza
- Precisa de esclarecimento
- Facilidade para iniciantes
- 25/100