Какие существуют способы защиты от атак на сервис, использующий смс подтверждение?

Question

[hamart]

Добрый день
Есть сервис(веб-приложение), который запрашивает номер мобильного телефона перед регистрацией. Телефон должен быть проверенным, для этого на указанный номер отправляется смс с кодом для подтверждения. Отправка смс - платная услуга для сервиса, злоумышленник может отправить множество запросов на сервис, будет отправлено множество смс, у сервиса закончится лимит по смс сообщениям, сервис будет выведен из строя. Как можно защититься от такой атаки?

Answer 1

[hoarywolf]

Усложнить отправку формы простым curl-om.
Используйте сессии, загружайте в hidden переменные значения ajax-ом, проверяйте, что пользователь загрузил не только html-файл формы, но и какое-то изображение, что он выполняет скрипты и тд. Понятно что от эмуляции браузера это не спасет, но жизнь злоумышленникам усложнит.

Кстати, можно еще отслеживать перемещения мыши, хотя бы в пределах формы, mouseover и mouseout на ее элементах, прокручивание страница, ввод текста в элементы формы (а не программное изменение value как в phantomjs) и на основании всего этого рассчитывать вероятность бота. При невысокой активности этим всем можно пренебречь, но в моменты атаки учитывать для выявления ботов.

Comments

[hamart]

Инетересное решение, но достаточно трудоемкое и ресурсоемкое, ведь нужно каждый "чих" передавать с клиента на сервер - движение мыши, скролл. Плюс проблемы с мобильными устройствами - у них нет указателя мыши

[hoarywolf]

hamart: Передавать можно не каждый чих, а аккумулировать. Вебвизор в яндекс метрике как-то ведь передает все движения. Про мобильные и тд — у них наверняка будут скролы и фокус на элементах формы. Но не суть, я же не предлагаю каждого регистрирующегося так контролировать, а в моменты атак вы увидите, что у ботов будет очень схожее поведение, в отличии от людей.

Answer 2

[Владимир Куц]

В порядке приоритета:
Лимитировать количество запросов на один номер телефона по времени.
Лимитировать количество запросов с одного айпи на разные номера по времени.
Ограничить целевую аудиторию (по геоайпи отсеять пользователей из Китая, Индии, и пр. - если конечно они не являются вашей целевой аудиторией)
Ограничить общее количество запросов СМС в единицу времени (сутки, час).

Comments

[hamart]

Если атака организована так, что 1) каждый запрос к сервису с разных IP 2) каждый раз новый номер. То единственной защитой остается "Ограничить общее количество запросов СМС в единицу времени", при котором целевая аудитория не сможет получить доступ. Верно?

[Владимир Куц]

hamart: Верно. К сожалению, в таком случае крайне тяжело различить атакующего и легального пользователя, поэтому в данном тяжелом случае выбираем вариант - "сохранить деньги".

Answer 3

[sim3x]

Составь блоксхему процесса и посмотри на каких участках стоит применить лимиты и капчи
Установи во всех точках логирование
Мониторь всплески и аномалии
Установи лимиты для погашения всплесков
Повтори все с начала