~15 min · login, form, rate-limit
Login 엔드포인트는 공격자가 추측할 수 있는 유일한 곳. 나머지 다는 login 엔드포인트가 발급한 session 으로 게이트. 이 한 라우트 제대로 하면 나머지 layer 따라와.
| 줄 | 방어하는 것 |
|---|---|
| Pre-check blacklist | bcrypt 비용 지불 전; 알려진 bad IP 에 CPU 절약 |
| Pre-check attempt count | 6번째 시도가 추측 성공 전에 차단 |
| 실패 시 constant-time 지연 | oracle 로서 timing 제거 (PIN 길이, bcrypt 비용) |
| 실패 시 증가, 성공 시 clear | 몇 번 정당한 오타로 영원히 lockout 안 되게 counter reset |
| HttpOnly, Secure, SameSite=strict | 표준 쿠키 강화 (Track 2) |
import asyncio
from fastapi import FastAPI, Form, Request
from fastapi.responses import RedirectResponse, Response
app = FastAPI()
@app.post("/login")
async def login(request: Request, pin: str = Form(...)):
ip = client_ip(request)
# Pre-check: blacklist (defense in depth; middleware 도 차단)
if is_blacklisted(ip):
return Response("Forbidden", status_code=403)
# Pre-check: 이미 너무 많이 실패?
if attempt_count(ip) >= max_retry():
blacklist(ip, reason="exceeded_retry")
return Response("Locked out", status_code=429)
# PIN 검증
cfg = load_config()
if not verify_pin(pin, cfg["pin_hash"]):
increment_attempt(ip)
# Constant-time 응답: 'PIN 틀림' 과 '없는 사용자' 누출 X
await asyncio.sleep(0.5) # timing 공격도 무뎌짐
return Response("Invalid PIN", status_code=401)
# 성공: counter clear, session 발급
clear_attempts(ip)
token = create_session(ip)
response = RedirectResponse("/", status_code=302)
response.set_cookie(
"session", token,
max_age=cfg["session_seconds"],
httponly=True, secure=True, samesite="strict", path="/"
)
return response<form method="POST" action="/login" autocomplete="off">
<input
name="pin"
type="password"
inputmode="numeric"
pattern="[0-9]*"
maxlength="4"
autofocus
autocomplete="off"
/>
<button type="submit">Unlock</button>
</form>아직 댓글이 없어요. 첫 댓글을 남겨보세요.