Bloqueo de usuarios por logins fallidos

 

Los programadores en algún momento deben de poner dificultades al ataque por fuerza bruta contra el login de una aplicación. Lo normal es limitar los intentos pero teniendo en cuenta cual puede ser el número normal de intentos sin ser un ataque.

Las medidas más comunes son el bloqueo de la ip del PC utilizado o permitir intentos pero añadiendo un captcha en la validación. Los dos casos realintizan el ataque pero tienen solución, el bloqueo de la IP cambiando simplemente de proxy y el captcha resolviéndolo con OCRs. Al final se acaba recurriendo al bloqueo del usuario atacado.

Lógicamente esto puede provocar un problema ya que un atacante puede bloquear usuarios. Recordemos hace un tiempo con el boom de MSN y las herramientas llamadas "Nukers" que al ejecutarlas bloqueaban el acceso al messenger (al intentarse loguear al servicio msn bloqueaban un tiempo la cuenta).

Si bloqueamos al usuario puede ser un problema dependiendo de la plataforma utilizada. Un ejemplo claro sería lo que ocurrió en Ebay donde conocíamos quien hacia la puja más alta. Podía bloquear a ese usuario para que no pujara más y pujar uno mismo para conseguir la compra. Otro caso serían los juegos de navegador que se basan en el tiempo. 

Con todo esto podemos ver que para evitar el robo de cuentas por fuerza bruta, bloquea el acceso al usuario durante 24 horas y enviaba un correo advirtiendo del intento de robo. 

Cuando nos encontremos en el dilema de cual sería nuestro caso particular para bloquear un cuenta de usuario para evitar su robo, recordemos estas lineas escritas.