Lockout 사이클 — Counter, Threshold, Blacklist

~15 min · lockout, state-machine, rate-limit

Level 0Greenhorn

0 XP0/53 lessons0/14 achievements

0/100 XP to next level100 XP to go0% complete

깔끔한 3-state machine 이야. fresh, warned, locked. PIN 시도 하나가 그 source IP 의 state 를 한 칸씩 밀어.

State	Counter 범위	다음 시도에 일어나는 일
Fresh	fail_count = 0	PIN 검증. 실패하면 1 로 증가
Warned	1 ≤ fail_count < max_retry	PIN 검증. 실패하면 증가, 성공하면 0 으로 리셋
Locked	fail_count ≥ max_retry	bcrypt 전에 거부. IP 를 blacklist 에 넣고, admin 이 풀어줘야 함

"성공 시 reset" trade

로그인에 성공하면 counter 를 되돌리는 건 친절이야. 오타 몇 번 내고 맞혀도 잠기지 않으니까. 동시에 *안전*하기도 해. 공격자는 PIN 을 모르니 성공으로 counter 를 되돌릴 수가 없거든. 되돌리려면 맞혀야 하는데, 맞힌 순간 이미 들어온 거라 brute force 를 더 할 이유가 없어.

Code

POST /login 안의 주석 달린 lockout 사이클·python

# POST /login 안 (풀버전은 Track 5)

# 이미 locked? 검증도 안 해 — bcrypt 비용 절약.
if attempt_count(ip) >= MAX_RETRY:
    blacklist(ip, "exceeded_retry")
    return Response("Locked out", status_code=429)

# 검증
if not verify_pin(input_pin, stored_hash):
    increment_attempt(ip)               # counter bump
    await asyncio.sleep(0.5)            # constant time
    return Response("Invalid PIN", status_code=401)

# 성공
clear_attempts(ip)                      # counter reset
issue_session(ip)

External links

Exercise

/login 엔드포인트 stress 테스트: 틀린 PIN 10번 POST 하는 작은 스크립트. 시도 5 후 IP 가 reason='exceeded_retry' 로 security_blacklist 에 나타나야 함. 시도 6 후 HTTP 429. DB 가 state machine 반영 확인.

Progress

Progress is local-only — sign in to sync across devices.

← Previous수학 — 4자리 PIN 이 방어 가능한 이유 Next →Hard Lockout 너머 — Backoff, Jitter, Honeypot

이 페이지에서 버그를 발견하셨거나 피드백이 있으세요?문제 신고

🔔 답글 알림 (로그인 필요)

로그인 — 댓글을 남기려면 로그인해 주세요.

아직 댓글이 없어요. 첫 댓글을 남겨보세요.