30

Estive pensando em um algoritmo contra ataques do tipo Brute-force que, como vimos no caso do iCloud, pode gerar grandes dores de cabeça se tratado com indiferença.

Inicialmente eu pensei neste fluxo:

Tentativa de login:

[define uma session "tentativas" para o usuário (caso ainda não exista)]

[incrementa o valor da session em 1]

[faz a verificação no banco]

[login correto: efetua login] - [login errado: volta à pagina de login]

[verifica o número de tentativas da session]

[ >= 5: bloqueia tela de login por 1 min] - [ < 5: Deixa tentar denovo]

Uma verificação apenas com sessões seria suficiente? Ou valeria a pena adicionar cookies, ou algum outro método de checagem?

12
  • 1
    boa pergunta +1
    – Jorge B.
    Commented 15/09/2014 às 13:04
  • 1
    se eu vou tentar força bruta, nada me impede de adicionar ao script um comando para limpar a sessão a cada tentativa... Commented 15/09/2014 às 13:04
  • 1
    A ideia é boa e sites como sistemas de Internet Banking fazem isso; porém, você não tem como fazer sessões para usuários não autenticados. Você pode, no entanto, guardar em uma tabela a quantidade de tentativas de acessos de cada IP distinto nos últimos cinco minutos. Mais de cinco tentativas sem sucesso = block. Commented 15/09/2014 às 13:04
  • 1
    @PauloHDSousa bem lembrado. Falha minha. Commented 15/09/2014 às 13:22
  • 2
    Cara, acredito eu que a maneira mais segura seja bloquear por IP e meter uma captcha na página... O único jeito do cara fazer requisição com IPs diferentes é mudá-lo a cada requisição ou mudar de máquina, o que para ataques a sites não tão grandes é meio que inimaginável.
    – HiHello
    Commented 8/10/2014 às 1:46

6 Respostas 6

21

A resposta do utluiz dá uma boa visão geral, além de chamar a atenção pra um ponto importante: se sua "segurança" é de menos, você é alvo de um ataque de força bruta; se é demais, você é alvo de um ataque de DoS.

Como resolver isso, não vou arriscar a opinar, pois também não sou especialista em segurança. Mas se seu objetivo é simplesmente evitar que um único usuário [arbitrário, é claro] seja hackeado (i.e. alguém tenta fazer login diversas vezes com o mesmo nome de usuário e senhas diferentes), uma solução viável é aumentar progressivamente o "custo" de se fazer login com esse usuário:

  • A cada tentativa de login mal sucedida, aumente um pouco o intervalo de tempo necessário para se tentar de novo com aquele usuário (não importando de onde venha esse login).
  • Se o número passar de um certo limite (digamos, 3) peça um captcha junto com o login.
  • Se ele aumentar ainda mais, envie um e-mail alertando o usuário do fato (mas não necessariamente bloqueando-o).
  • Se o número for excessivo (e aí não vou arriscar dizer o que seria excessivo) aí sim bloqueie aquela conta de usuário.

Você pode fazer o mesmo por endereço IP, para dificultar um pouco os ataques mais simples, mas como já dito isso é melhor feito fora da camada de aplicação. E de todo modo, uma medida dessa tem mais chance de afetar negativamente um usuário legítimo (ex.: esqueci minha senha, mas lembro que é uma dentre as A, B, C e D) do que um invasor (que já espera esse tipo de medida de segurança e toma ações proativas para evitá-las).

P.S. Complementando, lembre-se que um hash de senhas bem feito também ajuda a proteger contra ataques de força bruta, e que uma autenticação em dois fatores é um modo ainda melhor de se garantir contra o roubo de senhas (que em geral são fracas, tornando um desafio enorme protegê-las não importa o método escolhido).

1
  • 2
    Autenticação em dois fatores é uma boa, porém nossos usuários não estão preparados para algo tão avançado ainda Commented 16/09/2014 às 12:03
20

Aviso: não sou especialista em segurança ou neste tipo de ataque.

Cookies e Sessão não resolvem

Cookies e Sessão não são locais adequados para colocar este tipo de segurança.

Cookies são responsabilidade do cliente (geralmente o navegador), portanto facilmente manipuláveis.

A Sessão do usuário, apesar de ficar no servidor, é apenas uma estrutura de dados associada a um identificador, que geralmente fica num Cookie ou então na URL através do URL Rewriting.

Nos dois casos acima, requisições com o intuito de realizar um ataque de força bruta precisam simplesmente simular um novo usuário a cada requisição, como se fosse alguém que tivesse acabado de abrir o navegador, fazendo com que o servidor gere automaticamente uma nova sessão.

Segurança não é só da aplicação

Ataques que envolvem o uso maciço da rede como este ou DoS (Negação de Serviço) geralmente são mais bem tratados por Firewalls ou Proxies que filtram excesso de requisições.

Deixar isso a cargo da aplicação vai trazer uma complexidade para ela e vai fazer a equipe despender tempo implementando algo que não faz parte do escopo do sistema. Essa distração quase sempre vem a custo de um sistema com menos qualidade.

E o IP?

Uma técnica simples, porém ingênua, seria limitar o número de requisições usando o endereço IP.

Isso funciona num ataque simples, oriundo de apenas uma fonte. Entretanto, ataques distribuídos mais sofisticados irão controlar diversas fontes e acaba sendo muito difícil diferenciar uma requisição "normal" de uma automatizada.

Como detectar ataques?

Falando em diferenciar, aí é que está toda a questão. Como detectar o padrão de requisições artificiais geradas pelos ataques das requisições genuínas originadas pelos usuários?

A resposta a esta pergunta faz com que seja possível evitar ataques de força bruta de forma efetiva.

Não tentarei responder isso aqui, já que será assunto de debate por especialistas em segurança.

Até consigo pensar em pequenas técnicas para dificultar a ação de um hacker, mas em última análise, sempre será possível que ele identifique essas técnicas e ajuste o ataque.

Talvez usar um captcha ou "teste de humano" equivalente seja uma das formas mais efetivas hoje, porém muitas vezes atrapalha a usabilidade e também há garantias de que não possa ser implementado um algoritmo automatizado que resolva esses desafios.

Considerações

O objetivo desta resposta é informar aos desenvolvedores de aplicações web para não tentar reinventar a segurança usando técnicas "ingênuas". Ao mesmo tempo, quero dizer que a segurança deve ser uma preocupação, mas exige um estudo mais aprofundado, ferramentas adequadas e consulta a especialistas.

4
  • 3
    Testes humanos são horríveis para usuários, mas infelizmente a melhor forma que a aplicação tem de se proteger... Commented 15/09/2014 às 13:49
  • 1
    não sou especialista no assunto, mas acredito que ataques distribuídos tenham em comum o tamanho do pacote nas requisição... acho que com isso é possível identificar um ataque e bloquear temporariamente requisições de x bytes Commented 15/09/2014 às 13:53
  • 2
    @RodrigoBorth O tamanho do pacote é uma boa, mas se eu fosse um hacker, você acaba de me dar uma ideia. Posso criar uma pequena base se variação de cabeçalho, variando por exemplo o user agent e outros pequenos detalhes do protocolo que não afetem o objetivo principal.
    – utluiz
    Commented 15/09/2014 às 13:57
  • 1
    @RodrigoBorth E de todo modo, segurança por obscurantismo não funciona por si só (ajuda, mas não se deve depender dela). Assuma que um cracker conhece tudo sobre seu sistema, inclusive o modo de detectar se um pacote é legítimo ou não.
    – mgibsonbr
    Commented 15/09/2014 às 14:00
5

A verificação usando apenas a sessão é, na minha opinião, insuficiente!

Recomendo o bloqueio da conta após um certo número de tentativas, e proceder com o envio de um e-mail com uma senha temporária (no máximo 12 horas) para a troca da senha "esquecida".

NÃO RECOMENDO O USO DE COOKIE PARA VALIDAÇÕES DE SEGURANÇA!

É muito fácil alterar os dados de cookie dada a algumas ferramentas que já pude experimentar.

Leitura recomendada, pelo menos para iniciar: http://en.wikipedia.org/wiki/Session_hijacking

12
  • 1
    Embora eu não concorde com a solução proposta, +1 pela indicação do material sobre session hijacking (está todo mundo respondendo a parte que fala do processo, mas quase ninguém tocou a fundo na parte do uso de sessões).
    – mgibsonbr
    Commented 15/09/2014 às 16:12
  • Após ver o teu comentário para o Trxplz0, pude perceber que de fato é uma solução muito agressiva e chata.
    – Cold
    Commented 15/09/2014 às 16:17
  • 1
    @ColdHack de facto a tua resposta além de agressiva para o utilizador o COOKIE pode e ser utilizado, mas apenas para conter o Session_ID... porque a sessão é um mecanismo eficáz e se bem implementado...SEGURO.
    – chambelix
    Commented 15/09/2014 às 16:46
  • @chambelix Na realidade, é possível se garantir quase toda a segurança dos dados da sessão, se assinando e opcionalmente cifrando esses dados (o que não se pode garantir é que eles estejam atualizados). Em aplicações onde isso não é importante, guardar os dados de sessão no cookie tem o potencial pra melhorar bastante a performance da aplicação/site - por não exigir um hit no banco de dados a cada requisição.
    – mgibsonbr
    Commented 15/09/2014 às 18:13
  • acho um assunto interessante para um novo POST... mas @mgibsonbr não concordo de todo em guardar dados num cookie. o potencial que fala pode facilmente ser obtido por exemplo com servidores de cache que é uma das aplicações com sessões realizadas em produção. regra numero um nunca confiar no dados provenientes do cliente.
    – chambelix
    Commented 15/09/2014 às 20:14
5

Li todas as respostas e concordo com todas na generalidade. No entanto gostaria de introduzir o tema da capacidade de resposta do servidor ou do conjunto de servidores.

Mas antes e olhando para a pergunta quero acrescentar que, na minha opinião, um sistema deve de ser capaz e sem prejudicar os reais utilizadores em detrimento dos supostos "hackers" implementar uma política de autenticação que não bloqueie. No entanto e se o fizer... que coloque um arsenal de ferramentas para o próprio resolver a situação que por certo não criou. Utilizador insatisfeito é um utilizador que não quer utilizar o serviço.

Portanto e na minha opinião o utilizador primeiro.

Depois e no seguimento do meu primeiro paragrafo... Dizer que perante o algoritmo apresentado o numero de tentativas terá de ser guardado, mas possivelmente só depois de verificado na base de dados o total de tentativas antes de incrementar.

Tanto a gravação desse incremento como a validação do mesmo tem de ser bem orientados, pois tratando-se de uma base de dados como indicado e de um ataque "brutal force" as chamadas irão suceder-se e certamente o bloquear de nada resolverá pois o serviço poderá ser entupido com tantos acessos que apesar do esforço de implementação do contador este nunca será eficaz.

Portanto, a segurança ao nível da autenticação de credenciais não se irá restringir apenas a essa questão. Na resposta do @utluiz a frase:

Segurança não é só da aplicação

faz todo o sentido e se possível ver o panorama todo.

Para terminar dizer como exemplo que tenho estado envolvido num projeto de um "gestor de identidades" e posso dizer que o serviço contem mais do que um servidor HTTP depois estes acedem a cluster próprio para validar credenciais junto da pool de dados.

Até chegar aqui muitos são os processos de segurança utilizados, no entanto e para mim um dos melhores é esta separação, onde me coloca a possibilidade de definir nos servidores de base de dados os IP's dos servidores de HTTP que podem aceder, sem permitir qualquer outro acesso.

E mesmo assim é exigida uma boa monitorização.

4

Aviso: não sou especialista em segurança ou neste tipo de ataque

Modo 1

Um modo que eu utilizo e que você pode utilizar também é bloquear o LOGIN/EMAIL após errar 5 vezes a senha.

O LOGIN/EMAIL só é desbloqueado após alterar a senha ( manda um link para o e-mail cadastrado p/ ele digitar uma nova senha )

Um problema nessa técnica é que torna possível bloquear contas alheias - obrigado @Daniel Omine

Modo 2

Utilizar Captcha

8
  • 5
    Alterar a senha é um inconveniente bastante grande pra maioria dos usuários (a menos que estes já usem gerenciadores de senha, não tendo que memorizá-las). Esse tipo de medida provavelmente faria com que os usuários escolhessem senhas mais fracas (ex.: um prefixo, com um sufixo que incrementa a cada "mudança de senha"), ou as anotassem em algum lugar, etc. Lembro de alguém (acho que foi o Schneier) que disse: "segurança só funciona se for fácil"...
    – mgibsonbr
    Commented 15/09/2014 às 13:58
  • 2
    Pode ser um inconveniente, mas eu assumo que ele prefere perder 1 minuto resetando a senha, do que cair na net. Commented 15/09/2014 às 14:00
  • 1
    1 minuto para pensar numa nova senha, suficientemente distinta da anterior, memorizá-la, e se lembrar que aquela senha pertence àquele serviço (dentre os milhares que ele acessa)? Acho que não...
    – mgibsonbr
    Commented 15/09/2014 às 14:01
  • 4
    Meu lado "usuário" odeia trocas de senha forçadas. "Pior" ainda quando a política de senhas não se enquadra em meu conjunto de "senhas padrão". Sim, tenho um conjunto de senhas que uso em diferentes sites, de acordo com a "categoria" do mesmo. Obviamente, os sites mais importantes ganham senhas "melhores".
    – utluiz
    Commented 15/09/2014 às 14:10
  • 6
    Um problema nessa técnica é que torna possível bloquear contas alheias. Por exemplo, Eu crio um bot com nomes bastante óbvios e disparo 6 tentativas de logins propositadamente erradas. Isso é o suficiente para bloquear todas essas contas. Posso criar um pacote com 10, 200, 50 mil, 10 mihões de contas. Entende o enorme problema que se torna? Imagine milhares ou milhões de usuários com suas contas bloqueadas. Commented 15/09/2014 às 14:44
3

É claro que nenhuma das técnicas já mencionadas resolve o problema por completo. Com o que temos disponível, podemos fazer conforme muitos já falaram aqui:

  • Errou a senha mais de 3 vezes, usa session e solicita um captcha.
  • Errou a senha mais de 2 vezes, acertando o captcha, bloqueia o ip por 2 minutos.
  • Caso aconteca o segundo bloqueio de IP, bloquea a conta e solicita desbloqueio!

Tem gente confundindo com ataque DDoS que tem como objetivo atingir a fonte, parando sua aplicação e todas as demais que compartilharem do mesmo servidor, ou seja, ninguém vai acessar nada, inclusive você!

5
  • 2
    Tem gente confundido DDoS com o quê?
    – Cold
    Commented 15/09/2014 às 16:08
  • 1
    Ninguém está confundindo não, é que os requisitos de autenticidade e disponibilidade são opostos: torne muito fácil autenticar, e alguém vai te impersonar; torne muito difícil, e alguém vai bloquear seu acesso (ao tentar te impersonar, falhar, e bloquear sua conta). Ou seja, é um tipo de negação de serviço (DoS) sim, não necessariamente distribuído (DDoS).
    – mgibsonbr
    Commented 15/09/2014 às 16:09
  • 2
    Exato @mgibsonbr, por isso não havia percebido a questão de confundir "DDoS". Por outra, agora posso ver que o bloquear facilemente as contas pode não ser a melhor coisa, pois fica chato todos os dias ter de voltar a ativar a minha conta, quando é uma outra pessoa tentando aceder por ataque de força bruta.
    – Cold
    Commented 15/09/2014 às 16:14
  • @ColdHack Hehe é que eu estava comentando pro autor da resposta, mas você postou um comentário semelhante ao mesmo tempo que eu... :P
    – mgibsonbr
    Commented 15/09/2014 às 16:17
  • No caso ele quer bloquear essa é a solução. Sempre vai ter alguém tentando burlar principalmente se o serviço ou aplicação dele for algo público com muito acesso, assim como o usuário troll bloqueando a conta dos outros, Brute Force não é DDoS. Fica a critério dele definir os tempos de acesso e a quantidade de tentativas.
    – Trxplz0
    Commented 15/09/2014 às 18:13

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .