Гайз, надо 4 значные пин коды генерить. Обращал внимание, что

Question

Гайз, надо 4 значные пин коды генерить. Обращал внимание, что

некоторые банки всегда присылают коды, которые легко запомнить и часто легко набирать на клаве.
Есть какие то правила по которым такие коды генерятся, или либа готовая, кто нить сталкивался?

#php #programming #russian

0

24.06.2021

17 ответов

7 просмотров

Константин Грачев Автор вопроса

есть линк?

0

24.06.2021

A 💬

https://thezerohack.com/apple-vulnerability-bug-bounty https://thezerohack.com/how-i-might-have-hacked-any-microsoft-account

0

24.06.2021

Константин Грачев Автор вопроса

Спасибо, что-то я на второй половине статьи уже поплыл) Я так понял сервер принимал бесконечное количество попыток, ограничения были только на уровне подключения к серверу, а не на уровне запроса операции от которой был код. Я как раз хотел присваивать запросу ид, и ограничить его количеством попыток

0

24.06.2021

A 💬

Не так. У Епла ограниченное количество попыток на одну операцию. Т.е. привязка к операции есть и проверка по ней осуществляется, но автор дырки по сути эксплуатирует race condition, отправляя запросы одномоментно. Устранить эту дырку можно только обернув весь код проверки в распределённую транзакцию с гарантией согласлованности данных. Из статьи: As for as my testing, the forgot password endpoint had pretty strong rate limits. If we enter more than 5 attempts, our account will be locked for the next few hours, even rotating the IP didn’t help. Then I tried for race hazard based brute forcing by sending simultaneous POST requests to apple server and found a few more limitations.

0

24.06.2021

Артём

И что из этого следует? Не использовать пин-коды вообще? Не использовать короткие пин-коды?

0

24.06.2021

Константин Грачев Автор вопроса

Так а смысл ограничивать количество попыток на операцию, если на стороне сервера нет shared lock по id операции?

0

24.06.2021

Артём

Есть мнение, что если банки себе 4-значные пины позволяют, то, наверно, и Константину сойдёт

0

24.06.2021

Константин Грачев Автор вопроса

эм. docker run -d redis composer req symfony/lock (new LockFactory)->createLock($id)->acuire()

0

24.06.2021

Артём

А они и были, только, насколько мне известно, мало ими пользовались

0

24.06.2021

A 💬

Это не удивительно учитывая массовую дезинформацию людей включая само государство

0

24.06.2021

A 💬

Но это оффтоп и на этом я завершу

0

24.06.2021

Артём

Ну началась политота...

0

24.06.2021

A 💬

Хорошо, если у тебя редис только один и только на одном ядре процессора.

0

24.06.2021

A 💬

Хотя и с одним инстансом редиса реализация локов без использования специализированных инструкций редиса (которые появились относительно недавно) вызывала проблемы. Об этом, кажется, Максим говорил.

0

24.06.2021

Константин Грачев Автор вопроса

нагрузки у меня нет, и вряд ли будет на эти коды)

0

24.06.2021

Vladimir Chernyshev

банки балансируют между удобством и безопасностью, впрочем не только банки

0

24.06.2021

A 💬 · Accepted Answer

A 💬

Из-за такой фигни недавно Apple "поломали", а вы себе теперь повторяете...

0

24.06.2021

169 похожих чатов

Гайз, надо 4 значные пин коды генерить. Обращал внимание, что

17 ответов

Похожие вопросы