Cualquier pantalla de acceso que esté en internet recibe, desde el primer día, intentos automáticos de contraseña: robots que prueban listas enteras de usuarios y contraseñas filtradas de otros sitios, a cientos por minuto. No van a por ti; van a por cualquiera. Si la pantalla no se defiende, tarde o temprano aciertan con la contraseña de alguien que la reutilizaba.
Simplio frena los intentos repetidos y, si una dirección insiste, la bloquea. La dirección bloqueada no recibe ninguna pista: ni "contraseña incorrecta", ni "usuario no existe", ni "estás bloqueado". Simplemente no entra. El operador ve las direcciones bloqueadas en una lista y desbloquea la que haga falta, por ejemplo la oficina de un cliente al que se le atascó la tecla.
Como funciona
As tentativas falhadas contam-se por endereço
Cada palavra-passe incorreta soma. Um erro humano não faz mal; uma rajada, sim.
Ao insistir, o endereço fica bloqueado
Sem aviso nem explicação para o exterior. O robô não sabe se a palavra-passe era boa, se o utilizador existe ou se está bloqueado.
O operador vê e desfaz se for caso disso
Lista de endereços bloqueados, com data e número de tentativas, e um botão para desbloquear.
Que segurança tem
Nenhuma pista
As mensagens de erro não distinguem entre utilizador inexistente, palavra-passe errada e endereço bloqueado. Não se oferece informação a quem ataca.
O duplo fator continua por trás
Mesmo que um robô acertasse uma palavra-passe, o código do telemóvel pará-lo-ia. O bloqueio é a primeira camada, não a única.
O mesmo, na AWS e no Simplio
| Por sua conta na AWS | No Simplio | |
|---|---|---|
| Travar robôs numa página de acesso própria | Programá-lo, ou pôr uma WAF com regras de ritmo | Incluído |
| Ver quem está bloqueado | Ler os registos do servidor | Lista na administração, com botão de desbloquear |
Perguntas frequentes
Podem bloquear-me a mim?
Se falhar a palavra-passe muitas vezes seguidas, sim. É temporário e o operador pode desbloqueá-lo antes. Por isso convém o gestor de palavras-passe.
Porque não se diz quantas tentativas são?
Porque é informação útil para quem ataca. Os detalhes do travão e do bloqueio não se publicam.