LINUX.ORG.RU
ФорумTalks

Антиддос средствами пользователей

 


0

1

Имеем некоторый сервис с некоторым множеством зарегистрированных пользователей в котором выделим подмн-во и назовем его «доверенным». Предположим, что его начали атаковать и то, что нам в этот период безразличны новые пользователи. Заставим «доверенных» принимать нагрузку извне, для аутентификации будем использовать цифровые подписи (отмечу, что доверенные не могут ничего делать с бд, они решают лишь передавать ли пакеты машинам нашего сервиса или нет, вопрос распространения ip «доверенных» затрагивать не будем). Может есть готовые примеры реализации?

Прошу прощения за сумбурность (и вполне вероятно тупняк), пятница просто уже во всю...

Хорошие вещества. А запросы недоверенных сервер совсем обрабатывать не будет? Будет. Плюс ты насрёшь пользователям с динамическим айпи (то есть 95%+).

iz_tabakerki
()
Ответ на: комментарий от iz_tabakerki

А запросы недоверенных сервер совсем обрабатывать не будет?

Будет обрабатывать запросы например всех тех у кого есть хоть какое-то количество постов и не самая свежая дата регистрации и кто предложил свой открытый ключ для верификации подписей

Плюс ты насрёшь пользователям с динамическим айпи (то есть 95%+).

Это еще почему?

Zaskard
() автор топика
Ответ на: комментарий от Zaskard

Будет обрабатывать запросы например всех тех у кого есть хоть какое-то количество постов и не самая свежая дата регистрации и кто предложил свой открытый ключ для верификации подписей

То есть на отделение мух от котлет ресурсы не тратятся?)

Это еще почему?

Тому що если проверять по айпи, то они не смогут войти. А если проверять по ключу, то затраты на доверенных и недоверенных пользователей одинаковы %)

iz_tabakerki
()
Ответ на: комментарий от iz_tabakerki

«Доверенные» — это лишь те кто выполняют функцию маршрутизатора. Подключаться можно всем тем кто оставил свои ключи в период своей доддосной активности. Всех фейков можно будет отрубить по дате, например.

Zaskard
() автор топика
Ответ на: комментарий от Zaskard

Подключаться можно всем тем кто оставил свои ключи в период своей доддосной активности.

Запрос к базе: чек

Ну и да, что мне мешает зарегаться и задудосить?)

И, очевидно, пользователи не знают что такое ключи. И не подпишутся что-то там маршрутизировать чтоб твой сайт не лёг. КлаудФлэйр уже есть и неплохо работает, причём без присущих твоему методу ограничений на новых пользователей.

iz_tabakerki
()
Ответ на: комментарий от iz_tabakerki

Запрос к базе: чек

Зачем? Все ключи скопировать на каждый «маршрутизатор» (или я тебя не понял)

КлаудФлэйр уже есть и неплохо работает

Только *не везде*

Zaskard
() автор топика
Ответ на: комментарий от iz_tabakerki

Ну и да, что мне мешает зарегаться и задудосить?)

То что регу отрублю, епта! Или ты ддос собрался за год готовить, заставляю китайцев регаться, разгадывать капчу и оставлять осмысленные сообщения?

Zaskard
() автор топика
Ответ на: комментарий от iz_tabakerki

Я не знаю, кстати, как клаудфлэйр работает сейчас, но относительно недавно он просто заставлял интерпретировать некоторый жабаскрипт-код, соотвественно понятно что написать обход для этого вполне несложно (и так делают (делали) )

Zaskard
() автор топика
Ответ на: комментарий от Zaskard

Зачем? Все ключи скопировать на каждый «маршрутизатор» (или я тебя не понял)

То есть как? Обращаться будут к твоему серверу. Или ты предлагаешь навелосипедить сеть по типу TOR? Представь насколько проще клаудфлэйр.

iz_tabakerki
()
Ответ на: комментарий от iz_tabakerki

А зачем им обращаться к моему серверу чтобы просто проверить подпись? (так же как мы делаем у себя gpg --verify).

Представь насколько проще клаудфлэйр.

Прошлым лето заддосили через клаудфлэйр кое-кого. Обход писали не больше дня по моим воспоминаниям.

Zaskard
() автор топика
Ответ на: комментарий от Zaskard

А зачем им обращаться к моему серверу чтобы просто проверить подпись? (так же как мы делаем у себя gpg --verify).

Что зачем? Вот есть у тебя сервер, zaskar.ru, ip - 81.169.72.34, они туда и будут обращаться.

iz_tabakerki
()
Ответ на: комментарий от iz_tabakerki

Что зачем? Вот есть у тебя сервер, zaskar.ru, ip - 81.169.72.34, они туда и будут обращаться.

Будут. Только кто они то? Напрямую обращаются только «доверенные» (на то они и доверенные чтобы не раскрыли реальный ip), остальные обращаются через доверенных проходя предварительную аутентификацию ими же. Я не пойму про что, хочешь сказать что где-то здесь лишняя нагрузка возникнет или что?

Zaskard
() автор топика
Ответ на: комментарий от Zaskard

Ну один из доверенных сольет адрес. Случайно или специалоно. И сервак положаться http флудом. Или просто забьют канал.

И схема с доверенными пользователями слишком сложная. На больших проектах не применить, а маленькие так ддосят, что проще отбить.

nikita-b
()

Как то сложно и ненадежно.

Если капча не вариант, то есть такой способ защиты от ddos-а на уровне приложения как нагрузка клиента вычислительно сложными задачами. Типа генеришь «капчу» как большое рандомное число, а в качестве авторизации принимаешь его факторизацию по простым числам. Самое сложное тут - выбрать правильный баланс. Какую задачу выбрать, чтобы она быстро не решалась на GPU/FPGA, какой объем работы запрашивать.

snizovtsev ★★★★★
()

На доброчане такая штука давно есть

uin ★★★
()
Ответ на: комментарий от snizovtsev

Это фиговый способ - мощности ботнетов будут всегда превосходить твой сервак, который должен будет валидировать ответы, так что это не поможет совсем, так еще и обычным пользователям подгадишь (которые будут это у себя обсчитывать).

alozovskoy ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.