스프링 보안이 어떻게 브 루트 포스를 방어 할 수 있습니까?

Question

Grails 애플리케이션에서 인증 및 권한 부여를 위해 Spring Security 플러그인을 사용하고 있습니다. 사용자는 암호를 무한정 시도 할 수 있습니다. 무차별 공격에 대한 일종의 방어를 적용하는 구성 설정이 있습니까? 예를 들어, 10 번 시도한 후 사용자에게 로그인 시도를 허용하지 않습니까?

Answer 1

간단히 말해서 스프링 시큐리티는 계정에 대한 무차별 대입 시도를 막기위한 구현을 제공하지 않습니다.

그러나 사용자를 보호하기위한 전략을 구현할 수있는 방법을 제공합니다. 일반적으로 실패한 인증 이벤트에서 콜백을 구현해야합니다. 여기에서하는 일은 귀하의 신청에 적합한 행동 방침이 무엇인가에 달려 있습니다. 일부 응용 프로그램은 단순히 실패한 시도의 세션 변수를 증가시키고 임계 값에 도달하면 이후의 시도를 무시합니다.

다른 응용 프로그램은 마지막 실패한 시도와 함께이 정보를 유지하고 일정 기간 내에 특정 횟수 실패한 시도 후에 도메인 인스턴스를 업데이트하여 계정을 잠글 수 있습니다.

documentation이 작업을 수행하는 방법을 설명하는 좋은 일을하지만, 일반적으로는처럼 Config.groovy에 스프링 보안 핵심 플러그인에 대한 이벤트 리스너를 추가 할 것입니다 :

grails.plugin.springsecurity.useSecurityEventListener = true 
grails.plugin.springsecurity.onInteractiveAuthenticationSuccessEvent = { e, appCtx -> 
    // Handle successful login 
} 
grails.plugin.springsecurity.onAbstractAuthenticationFailureEvent = { e, appCtx -> 
    // Handle failed login 
    // example of how to obtain the session if you need it 
    def request = grails.plugin.springsecurity.web.SecurityRequestHolder.getRequest() 
    def session = request.getSession(false) 
}