跟踪身份验证尝试并防止暴力攻击
odoo9-addon-auth-brute-force的Python项目详细描述
跟踪身份验证尝试并防止暴力攻击
此模块将用户尝试验证的每个请求注册到 奥多。如果身份验证失败,则为给定的远程服务器增加一个计数器 知识产权。经过一定次数的尝试后,odoo将禁止远程ip和 忽略新请求。 此模块通过隐藏应用安全性 (https://en.wikipedia.org/wiki/Security_through_obscurity), 当用户被禁止时,请求现在被视为攻击。那么,用户界面 将not向用户指示其IP被禁止,并显示常规消息 显示“错误登录/密码”。
此模块实现对web api(http://ip-api.com)的调用,以尝试 有关远程IP的附加信息。
配置
您可以使用这些控制此加载项行为的配置参数:
- auth_brute_force.whitelist_remotes是以逗号分隔的 白名单IP。忽略来自这些远程的故障。
- {TT2}$默认值为50,并指示最大值 IP允许连续失败。达到极限后,IP将 禁止。
- auth_brute_force.max_by_ip_user默认为10,并指示 允许任何IP和用户组合的最大连续故障。 达到限制后,该用户和IP组合将被禁止。
使用量
管理员用户可以解除阻止被禁止的IP。
日志记录
在以下情况下,此模块会生成一些警告日志:
- 当达到IP限制时:来自远程“x.x.x.x”的身份验证失败。 遥控器被禁止了。尝试登录:xxxx。
- 当达到IP+用户组合限制时: 来自远程“x.x.x.x”的身份验证失败。 远程和登录的组合已被禁止。尝试登录:xxxx。
已知问题/路线图
- 移除v12中https://github.com/odoo/odoo/issues/24183的修补程序。
- 根据服务器和/或用户网络配置,标识配置
的用户可能是错误的,主要是在以下情况下:
- 如果odoo服务器位于apache/nginx代理之后,并且它不正确 配置后,所有请求将使用相同的IP地址。阻止此类IP 可能导致所有用户都无法使用odoo!确保日志输出 安装此加载项之前,请更正Werkzeug流量的IP。
- IP元数据检索应该使用更好的系统。See details here。
缺陷跟踪器
在GitHub Issues上跟踪错误。如果有麻烦,请 如果您的问题已经报告,请检查那里。如果你先发现它, 通过提供详细且受欢迎的反馈,帮助我们粉碎它。
学分
贡献者
- 西尔文勒加尔(https://twitter.com/legalsylvain)
- 大卫·维达尔david.vidal@tecnativa.com>;
- 杰罗·洛皮斯,jairo.llopis@tecnativa.com>;
维护人员
此模块由OCA维护。
oca,或odoo社区协会,是一个非营利性组织 任务是支持odoo特性和 促进其广泛应用。
若要对此模块作出贡献,请访问https://odoo-community.org。