質問: ログイン資格情報が間違っていることをユーザーに知らせる方法は? ユーザーがログインフォームに誤った詳細を入力した場合は、次のように伝えてください。 入力したユーザー名またはパスワードは無効です。 または 入力したユーザー名は無効です(無効なユーザー名の場合) 入力したパスワードは無効です(ユーザー名は有効ですが、パスワードが無効です)。 最初のアプローチは、攻撃者がユーザー名/電子メールアドレスが有効かどうかを確認できないため、より安全である可能性があります。同時に、ユーザーはサインアップしたメールアドレスまたはユーザー名を思い出せないことに不満を感じるかもしれません。2番目のアプローチは明らかにユーザーフレンドリーですが、攻撃者は有効なユーザー名/メールが何であるかを突き止め、パスワードを推測する攻撃を仕掛けることができます。いくつかの例: アマゾン:there was an error with your e-mail/password combination. please try again. ホットメール: that windows live id doesn't exist. enter a different id or get a new one.およびthat password is incorrect. try again. これらのエラーを表示するにはどうすればよいですか?
回答: 両方を使用:最初の試行の最初のオプション。5回連続して失敗した後、2番目のオプションに切り替えます。このようにして、大多数のユーザーの使いやすさを維持しますが、ハッカーの作業をはるかに困難にします。5回失敗した後、彼はcookieをリセットしてipを変更するか、5つの暫定のみで正しい資格情報を見つける必要があります(非常にありそうもない)。この段階では、ほとんどの「攻撃者」はあきらめ、彼が決定し、十分に熟練していれば、とにかくブルートフォース戦略を破棄するでしょう。