11章 システムの運用管理

11. ログインエラーへの対応

WebRelease は Brute Force Attack (ID/Password 総当たり攻撃) に対してある程度の耐性を持っています。一定のペース以上でのログインエラーが観測され続けている状況では自動的に保護モードへ移行します。保護モードに入ると、ログインパネルに以下のような表示が出るようになります。

保護モード下では以前に WebRelease に正常にログインした履歴のあるブラウザ以外からのログインができなくなります。また、ログイン実績のあるブラウザからのログイン試行も、一定回数ログインに失敗するとログイン実績が無効になります。この保護モードは、攻撃が終了する、つまり、継続的なログインエラーの発生が収まると、自動的に解除されます。解除までの目安は 5 分程度とお考えください。

保護モード下では正しいログインにもいくらか余計に時間がかかる場合があります。保護モード下では、ログイン時に、WebRelease がブラウザに対して小さなクイズを与えます。このクイズは総当たり攻撃の効率を削ぐためのものです。ログイン時には、ブラウザはログイン画面に組み込まれている javascript を使って、このクイズの答えを作成し ID / Password とともに提示します。正しい答えが添えられていないとログインは成功しません。答えの作成には一定の時間がかかります。一般的なブラウザでは数秒から30秒程度かかるでしょう。

保護モード下では、ログイン画面には nonce が組み込まれるようになります。これにより WebRelease のログイン画面を経由せずに Bot などから直接ポストされるログイン試行を排除することができるようになっています。