アカウント情報を漏らすアプリの部分を力ずくで攻撃しようとする攻撃者を遅らせたいです。(たとえば、使用中のユーザー ID でサインアップ ページをヒットすると、ページの応答は、ユーザー ID がその後の辞書攻撃に適していることを示します。)
連続して失敗した試行をどんどん遅くするための適切なアルゴリズムは何ですか? 実際の例としては、iPhone での連続した不正なパスワードが挙げられます。
私はPHPで実装していますが、疑似コードの応答をいただければ幸いです。答えの重要な部分は次のとおりです。
悪い試行 N では、X だけ応答を遅らせます。
そして、本当に素晴らしい答えには、次のものが組み込まれます。
M 回の試行は人為的エラーの許容範囲内であるため、曲線は M+1 付近で「ホッケースティック」になります。