Firebase 用户枚举攻击

Question

我正在寻找有关 Firebase 防止暴力密码猜测的更多详细信息。

在这个帖子中，加藤说“我们按来源限制请求以减轻任何暴力方法”，可以提供更多信息吗？尤其：

• 何时开始限制以及是否在任何时候客户端完全被阻止一段时间等？

• 我们能否在安全规则中指定尝试失败的次数，之后客户端将被锁定一段时间？

我想在我的应用程序上切换到仅包含数字的“小键盘”密码，并且担心枚举攻击。我需要确定保证密码安全的最小位数。

谢谢！

Answer 1

弗兰克在评论中回答了，所以我只是添加两个可能有用的附加信息：

• Firebase 阻止使用少于 6 个字符的密码（请参阅FirebaseAuthWeakPasswordException）
• 当在特定设备上检测到异常活动时，会引发特定错误代码 (ERROR_TOO_MANY_REQUESTS)。因此，您可以轻松地进行一些测试，看看触发错误的速度有多快。我刚刚这样做了，3-4 次错误的密码尝试触发了错误并阻止了来自我的设备的请求。

来自文档： auth/too-many-requests 如果由于异常活动而阻止来自设备的请求，则抛出该异常。延迟一段时间后重试即可解锁。