عيوب حد المعدل Rate Limiting

حد المعدل هو ما يمنع المهاجم من تجربة دخول أو رمز لمرة واحدة أو رمز استعادة آلاف المرات حتى ينجح أحدها وحين يغيب أو يعتمد على شيء يتحكم به المهاجم أو يعد الشيء الخطأ تعود القوة الغاشمة مباشرة والرمز القصير أو كلمة المرور الضعيفة لا تحمي شيئا

ما هي الثغرة؟

• لا حد رمز من رقمين بمحاولات غير محدودة يسقط في مئة محاولة على الأكثر
• يعتمد قيمة من العميل الحد يعد حسب X-Forwarded-For وهي ترويسة يرسلها العميل فتدويرها يمنح دلوا جديدا كل طلب
• يعد الوحدة الخطأ الحد يعد الطلبات لكن الطلب الواحد يفحص قائمة رموز كاملة فطلب واحد مجمع يجرب الفضاء كله بوحدة واحدة

لماذا تحدث؟

يضاف الحد بعد أن تعمل الميزة فيسهل ربطه بأي شيء متاح ترويسة أو عد أي شيء سهل الطلبات والمهاجم يحتاج فقط أن يجد المفتاح أو الوحدة التي أخطأ فيها الحد

كيف تتوقف؟

احصر الحد على شيء لا يزوره العميل الحساب أو عنوان الشبكة الحقيقي الذي يراه الخادم لا ترويسة وعد الوحدة الحقيقية المحاولات لا الطلبات وحدد كم تخمينا يحمل الطلب الواحد وأضف تأخيرا متصاعدا وقفلا مؤقتا واجعل تحديث العداد ذريا حتى لا تسابقه الطلبات المتزامنة

اللابات الثلاثة أدناه تمشي هذا خمن رمزا بلا حد ودور ترويسة لتفادي الحد وجمع كل التخمينات في طلب واحد