Firebase Benutzer Enumeration Angriff

Question

Ich bin auf der Suche nach weiteren Details in Bezug auf Firebase Schutz vor Brute-Force-Passwort erraten.

In diesem thread sagt Kato "wir drogen Anfragen nach Herkunft, um Brute-Force-Ansätze zu mildern", können weitere Informationen gegeben werden? vor allem:

Wann tritt Throttling ein und wenn der Client zu irgendeinem Zeitpunkt für eine bestimmte Zeit usw. vollständig blockiert ist?

können wir einen Weg in den Sicherheitsregeln haben, um eine Anzahl von fehlgeschlagenen Versuchen anzugeben, nach denen der Client für eine bestimmte Zeit gesperrt wird?

Ich möchte zu einer Ziffer nur 'Numpad' Passwort auf meiner App und bin besorgt eine Aufzählung Angriff. Ich muss die Mindestanzahl von Ziffern festlegen, um Passwörter sicher zu machen.

Danke!

Answer 1

Frank in den Kommentaren beantwortet, so dass ich einfach nur mit zwei zusätzliche Informationen, die nützlich sein könnte:

• Firebase verhindert Passwörter verwenden, das weniger als 6 Zeichen lang sein (siehe FirebaseAuthWeakPasswordException)
• Ein spezifischer Fehler Code (ERROR_TOO_MANY_REQUESTS) wird ausgelöst, wenn auf einem bestimmten Gerät ungewöhnliche Aktivitäten festgestellt werden. Sie könnten also leicht Tests durchführen, um zu sehen, wie schnell der Fehler ausgelöst wird. Ich habe es gerade getan, und 3-4 falsche Passwortversuche haben den Fehler ausgelöst und die Anfragen von meinem Gerät blockiert.

Vom doc: auth/too-many-requests ausgelöst, wenn Anfragen von einem Gerät aufgrund ungewöhnlicher Aktivität blockiert sind. Ein erneuter Versuch nach einer gewissen Verzögerung würde die Blockierung aufheben.