Login 엔드포인트 — Brute Force 가 시작되는 곳 · Solo Auth Quest

각 줄이 중요한 이유

줄	방어하는 것
Pre-check blacklist	bcrypt 비용을 치르기 전에 걸러서, 아는 나쁜 IP 에 CPU 를 안 씀
Pre-check attempt count	6번째 시도가 추측 성공 전에 차단
실패 시 constant-time 지연	응답 시간이 답을 알려주지 않게 함 (PIN 길이, bcrypt 비용)
실패 시 증가, 성공 시 clear	오타 몇 번 때문에 영원히 잠기지 않도록 counter 를 되돌림
HttpOnly, Secure, SameSite=strict	표준 쿠키 강화 (Track 2)

Code

POST /login — canonical 솔로 개발자 모양·python

import asyncio
from fastapi import FastAPI, Form, Request
from fastapi.responses import RedirectResponse, Response

app = FastAPI()

@app.post("/login")
async def login(request: Request, pin: str = Form(...)):
    ip = client_ip(request)

    # Pre-check: blacklist — middleware 도 막지만 여기서 한 번 더 (defense in depth)
    if is_blacklisted(ip):
        return Response("Forbidden", status_code=403)

    # Pre-check: 이미 너무 많이 실패?
    if attempt_count(ip) >= max_retry():
        blacklist(ip, reason="exceeded_retry")
        return Response("Locked out", status_code=429)

    # PIN 검증
    cfg = load_config()
    if not verify_pin(pin, cfg["pin_hash"]):
        increment_attempt(ip)
        # Constant-time 응답: 'PIN 틀림' 과 '없는 사용자' 를 구분해서 흘리지 않음
        await asyncio.sleep(0.5)        # timing 공격도 무뎌짐
        return Response("Invalid PIN", status_code=401)

    # 성공: counter clear, session 발급
    clear_attempts(ip)
    token    = create_session(ip)
    response = RedirectResponse("/", status_code=302)
    response.set_cookie(
        "session", token,
        max_age=cfg["session_seconds"],
        httponly=True, secure=True, samesite="strict", path="/"
    )
    return response

<form method="POST" action="/login" autocomplete="off">
  <input
    name="pin"
    type="password"
    inputmode="numeric"
    pattern="[0-9]*"
    maxlength="4"
    autofocus
    autocomplete="off"
  />
  <button type="submit">Unlock</button>
</form>

Exercise

/login POST 엔드포인트와 최소 HTML 폼 추가. 성공 경로 (맞는 PIN), 실패 경로 (틀린 PIN, security_attempts 의 counter 증가 봐), lockout (5+ 틀린 시도 → blacklisted, 429) 테스트. 이 연습에선 세 상태를 다 연결해두는 게 목표야. 튜닝은 다음 트랙들에서 해.

Login 엔드포인트 — Brute Force 가 시작되는 곳

각 줄이 중요한 이유

Code

External links

Exercise

Progress

댓글 0