Cualquier pantalla de acceso que esté en internet recibe, desde el primer día, intentos automáticos de contraseña: robots que prueban listas enteras de usuarios y contraseñas filtradas de otros sitios, a cientos por minuto. No van a por ti; van a por cualquiera. Si la pantalla no se defiende, tarde o temprano aciertan con la contraseña de alguien que la reutilizaba.
Simplio frena los intentos repetidos y, si una dirección insiste, la bloquea. La dirección bloqueada no recibe ninguna pista: ni "contraseña incorrecta", ni "usuario no existe", ni "estás bloqueado". Simplemente no entra. El operador ve las direcciones bloqueadas en una lista y desbloquea la que haga falta, por ejemplo la oficina de un cliente al que se le atascó la tecla.
So funktioniert es
Fehlversuche werden pro Adresse gezählt
Jedes falsche Passwort zählt. Ein menschlicher Fehler schadet nicht; eine Salve schon.
Bei Hartnäckigkeit wird die Adresse gesperrt
Ohne Warnung oder Erklärung nach außen. Der Bot weiß nicht, ob das Passwort richtig war, ob der Benutzer existiert oder ob er gesperrt ist.
Der Betreiber sieht es und hebt es bei Bedarf auf
Liste der gesperrten Adressen mit Datum und Anzahl der Versuche und einer Schaltfläche zum Entsperren.
Welche Sicherheit es bietet
Kein Hinweis
Die Fehlermeldungen unterscheiden nicht zwischen nicht existierendem Benutzer, falschem Passwort und gesperrter Adresse. Dem Angreifer werden keine Informationen geschenkt.
Dahinter steht weiterhin die Zwei-Faktor-Authentifizierung
Selbst wenn ein Bot ein Passwort träfe, würde ihn der Handy-Code stoppen. Die Sperre ist die erste Schicht, nicht die einzige.
Dasselbe, in AWS und in Simplio
| Auf eigene Faust in AWS | In Simplio | |
|---|---|---|
| Bots auf einer eigenen Anmeldeseite bremsen | Es programmieren oder eine WAF mit Ratenregeln einrichten | Enthalten |
| Sehen, wer gesperrt ist | Die Server-Protokolle lesen | Liste in der Verwaltung, mit Entsperren-Schaltfläche |
Häufige Fragen
Kann ich selbst gesperrt werden?
Wenn Sie das Passwort mehrmals hintereinander falsch eingeben, ja. Das ist vorübergehend, und der Betreiber kann Sie vorher entsperren. Deshalb empfiehlt sich ein Passwort-Manager.
Warum wird nicht gesagt, wie viele Versuche es sind?
Weil es für Angreifer nützliche Informationen sind. Die Details der Begrenzung und der Sperre werden nicht veröffentlicht.