与 IP 寻址和身份验证相关的 Twitter 错误答案

【问题标题】：A twitter bug realted to IP Addressing and Authentication与 IP 寻址和身份验证相关的 Twitter 错误
【发布时间】：2010-02-26 16:18:34
【问题描述】：

我正在构建一个被困在登录模块中的 Web 应用程序。我正要使用机器的 IP 地址实现锁定功能，但是动态 IP 路由器可以重新启动，所以我想存储在网络上无法检索的 MAC 地址。然后我尝试了解 GMAIL 和 Twitter 上的功能

我检查的案例

我想锁定一个用户在他尝试连续登录超过 20 次的系统中，如果他尝试从另一个系统登录，该用户必须能够登录。

现在我在 twitter 上尝试这种功能，他们是如何实现的。

当我尝试从我的 mozilla 浏览器登录我的 Twitter 帐户大约 18-20 次时，我被锁定了 60 分钟。现在我尝试检查此锁定是依赖于浏览器还是依赖于服务器。所以我尝试从 IE 登录，在第一次尝试中我被显示为锁定。

然后我尝试从另一个系统登录，即另一个（IP 地址）然后我可以访问我的帐户。由此我得出结论，它可能正在检查IP地址。

然后我终于回到我的电脑并尝试从 Tweet Deck （即第三方软件）登录，然后我获得了访问权限，然后我再次尝试从浏览器登录，但它仍然显示我被锁定了 60 分钟。

TWEET DECK 是否充当代理？

幕后发生的事情是 IT 检查 MAC 地址、IP 地址或什么？它是否在数据库中存储信息

【问题讨论】：

请提供请求关闭此 Q 的理由。
目前有一个请求关闭，针对“NPR”（与 Prog. 无关“。恕我直言，虽然“问题”可能表达得不好，但手头的问题与程序员有关。
@mjv thx 提供理由，我同意在这一点上这个 Q 比编程更主观。但这是编程范式的问题，这就是为什么在此处发布此 Q 的原因。关于表达不佳，我无法正确解释我的 Q 是可以接受的。无论如何，感谢 4 个原因

标签： .net security networking twitter

【解决方案1】：

从问题中提供的描述来看，Twitter 的锁定逻辑似乎与：

IP 地址，或可能的一部分，例如它的 C 类（IP 地址的前 3 个字节。
[相对较高]失败尝试次数

我怀疑是否有人使用 MAC 地址，因为这相对难以/不可能获得，并且与 IP 地址“识别”相比优势相对较少（无论如何，IP 和 MAC 都可以被欺骗......）

Twitter 使用 IP 地址的原因可能是为了阻止黑客，同时又不会给所有合法用户带来不便。它防止拒绝服务的想法，允许某人阻止 Twitter 的合法用户使用该服务，只需通过多次未能在此帐户下登录（即目标是禁用该帐户而不是猜测其密码）。

然而，这种方法的问题在于它给了“坏人”更多最终进入的机会；为了减轻这种风险，登录逻辑还可能包括一个给定帐户当前锁定了多少不同 IP 地址的计数，允许它在此计数达到阈值时完全禁用该帐户：“伙计，五个不同的 IP 地址已多次尝试访问此帐户...让我们将其锁定，并向所有者发送电子邮件！”。

您应该为您的 Web 应用程序实现的登录逻辑类型在很大程度上取决于网站的性质、用户数量等。
效仿 Google 和 Twitter 等 1 级网站的做法并没有错，但您的个人情况可能会提供其他机会或要求。
例如，每秒登录次数要少得多，您可以实施一组更奇特的规则（例如，将当前 IP 与帐户以前/最近使用的 IP 地址相匹配的规则，并且在这些情况下更加宽容）。另一个例子：如果您的客户正在为服务付费和/或如果他们的隐私被视为溢价，那么谨慎行事可能更可取，即[有时]锁定合法用户而不是允许[潜在地]黑客。

【讨论】：

【解决方案2】：

虽然这是闯入帐户的一种可能情况。还有其他有利可图的途径，包括从常用密码列表开始，并尝试找到拥有这些密码的用户，从而使攻击分散在用户之间。

大多数登录系统使用所有/大部分功能的组合，滥用者当然知道这些功能。一些技术包括使用用户名、密码（即使针对不同的用户）、cookie 的年龄、cookie 的多样性、IP 地址以及是否正在使用 SOCKS 或其他代理的一些检测来使用失败的登录尝试。有些人甚至尝试使用某种形式的用户或设备指纹识别来提高施虐者的门槛。检测后通过使用验证码或临时锁定来减慢尝试速度。

当然，锁定 IP 可能是一个非常糟糕的主意，因为 NAT 设备后面的单个滥用者可能会导致对 NAT 后面的所有其他用户的服务拒绝。此外，我相信中东的一些国家甚至代理 SSL 流量，因此阻止 IP 可能会阻止所有用户 - 这可能不是您关心的问题。

google 和其他网站也处理了跨地理分布的服务器并行进行的攻击。

【讨论】：