rate limit, 재시도, 재사용 방지 같은 정책을 저장소 포트와 함께 표준화합니다.
인증 보안 정책은 인증 알고리즘 바깥에서 자동화된 추측, 토큰 재사용, 과도한 재시도를 통제합니다. 제한 기준과 상태 저장소, 보안 이벤트 기록을 분리해 두면 여러 인증 수단이 같은 보호 정책을 공유하면서도 위험 수준은 서비스마다 따로 조정할 수 있습니다.
계정, 출발지, 장치처럼 여러 기준으로 시도 빈도를 제한해 분산된 추측 공격의 속도를 늦춥니다.
nonce, 일회용 토큰, 소비 상태를 추적해 한때 유효했던 인증 증거를 다시 쓰지 못하게 합니다.
실패·잠금·복구·권한 변경을 같은 형식의 이벤트로 남겨 탐지와 사후 분석에 씁니다.
아래 증명은 글로 된 설명이 아닙니다. 버튼을 누르면 이 서버가 지금 직접 계산합니다.
한도까지는 허용하고 넘으면 차단합니다. 차단은 윈도우가 아니라 cooldown이 끝나야 풀리므로, 윈도우가 끝나기를 기다리는 것만으로는 우회할 수 없습니다.
표준 문서에 실린 테스트 벡터를 그대로 넣어 같은 값이 나오는지 확인합니다.
저장소가 유출돼도 어떤 IP나 계정이 얼마나 시도했는지 읽어 낼 수 없고, 한 scope의 차단이 다른 scope로 번지지 않습니다. 안전하지 않은 정책 값은 구성 시점에 거부합니다.
막아야 할 입력을 실제로 넣고 거부되는지 확인합니다.
규격 원문을 먼저 실었습니다. 사례는 이 분야에서 실제로 보안이 뚫린 일을 다룬 자료입니다.
제한 초과를 알리는 표준 응답 코드를 정의합니다.
남은 한도를 클라이언트에 알려 주는 헤더의 표준화 작업입니다.
비용이 큰 경로를 어디서 조여야 하는지 다룹니다.
다음 단계
실제 트래픽 분포를 보고 scope별 제한값을 조정하고, sliding-window adapter가 필요한지 판단합니다.