アヤックス認証

Question

可能DoS攻撃せずに私はユーザー認証のためにそれを使用したWebサービスがあります。

public bool ValidateUser(string username, string password,bool rememberMe) 
    { 
     if(Membership.ValidateUser(username, password)) 
     { 
      FormsAuthentication.SetAuthCookie(username, rememberMe); 
      return true; 
     } 
     return false; 
    } 

を私はjQueryを介してクライアントからそれを呼び出す：

function validateUser() { 

      var username = $('#<%=UserName.ClientID %>').val(); 
      var pass =$('#<%=Password.ClientID %>').val(); 
          $.ajax({ 
       type: "POST", 
       url: "Services/LoginService.asmx/ValidateUser", 
       data: "{'username ':'" + username + "','password':'" + pass + "','rememberMe':'" + $('#<%=chbRememberMe.ClientID %>').attr('checked') + "'}", 
       contentType: "application/json; charset=utf-8", 
       dataType: "json", 
       success: function(data, status) { OnSuccessLogin(data, status); }, 
       error: OnErrorLogin 
      }); 
     } 

今、私はそれがオープンだと思いますサービス不能攻撃への攻撃を防ぎ、ハッカーはWebサービスを何度も呼び出すことでサーバを減速させることができます。

これを保護する方法はありますか？

Answer 1

：

Prevent Denial of Service (DOS) attacks in your web application

Answer 2

あなたの投稿から私が知る限り、攻撃者はあなたの認証Webサービスに要求をあふれさせるのではないかと心配しています。 Membership.ValidateUserの呼び出しが高価な場合は、DOSにつながる可能性があります。

まず、の外側にあるの外側に、DDOSを避ける​​ためにすべての作業を行ってください。 Googleはあなたの友人です、おそらくthisが役に立ちます。 Membership.ValidateUserが高価である場合

第二に、二段階認証プロセスを作ってみる：安価クライアントのProof-of-workトークンを生成するための最初の要求を使用して、クライアントのみが行われた場合に、第2の要求にMembership.ValidateUserへの呼び出しを受け入れますいくつかの作業。

私は良い方法を見つけたと思う