php - ajax onchange ユーザー名の検証とブルート フォース攻撃

Question

ユーザー名の ajax onchange 検証を作成しました。ユーザーが既に存在するか、無効な文字を含むか短いなどのユーザー名を入力すると、すぐに警告が表示されます: ユーザー名は既に存在する/無効な文字を含む/より短い...

Ajax onchange は、php 検証を使用してユーザー入力を取得します。

今、私は考えています。このようにして、総当たり攻撃者は既存のユーザー名に関する情報を簡単に取得できます...? それとも危険なし....？

Answer 1

基本的に、すべてのユーザー名検証リクエストがどのように機能するかは、リクエストをサーバーに送信することによって行われます。ここで AJAX を使用しているからといって、ブルート フォース攻撃の影響を受けやすくなるわけではありません。

ただし、@NickFuryが言ったように、いくつかのことに注意してください。再試行の制限があることを確認してください。おそらく、パスワードの再試行に指数関数的に増加する時間を使用します。

適切なパスワード サイズの制限やその他のガイドラインを再試行の制限と共に適用すると、ブルート フォース攻撃は実質的に不可能になります。ただしwelcome、ユーザーが自分のパスワードとして使用することを決定した場合、それはユーザーの責任です。

ただし、パスワードをプレーン テキストとしてデータベースに保存しないようにしてください。常に BCrypt のようなものを使用してください。