Ich habe einen Benutzer, der von einer Person oder einem Skript angegriffen wird, das mehrmals täglich über seine E-Mail-Adresse den Endpunkt „Passwort vergessen
Hallo Dan, wenn es dir nichts ausmacht, habe ich zunächst ein paar Fragen.
- Hast du den Benutzer gesperrt?
- Erlaubst du jedermann die Erstellung eines Kontos, oder genehmigst du alle neuen Konten?
Du kannst den Benutzer sperren, indem du zu admin/users/list/active gehst und auf den Namen des betreffenden Benutzers klickst. Sobald du auf seiner/seiner Informationsseite bist, scrolle nach unten zu Berechtigungen und klicke auf Sperren. Stelle sicher, dass der Benutzer abgemeldet ist, da die Sperrung möglicherweise erst nach dem Abmelden wirksam wird. Wenn er/sie noch angemeldet ist, befindet sich oben rechts auf derselben Seite ein blauer Kasten, über den du ihn/sie selbst abmelden kannst. Sobald er/sie abgemeldet ist, kann er/sie sich nicht mehr mit den alten Anmeldedaten anmelden.
Wenn du neue Konten genehmigst – und der „Täter
2 „Gefällt mir“
Indem sie die Seite „Passwort vergessen“ aufruft und ihre E-Mail-Adresse eingibt. Jeder kann dies für jeden Benutzer tun.
2 „Gefällt mir“
Wie oft genau pro Tag?
2 „Gefällt mir“
OK, „viele
3 „Gefällt mir“
Es ist definitiv ärgerlich, wenn jemand entscheidet, im Namen eines anderen immer wieder auf „Passwort vergessen
10 „Gefällt mir“
Ich bin es, der mit gefälschten Anfragen bombardiert wird.
Das passiert mehrmals pro Stunde.
Es gibt keine Option, keine E-Mail für ein Passwort-Reset zu erhalten, obwohl ich 2FA mit Reset-Schlüsseln aktiviert habe.
Einige Websites, die ich besucht habe, zeigen deine IP-Adresse an, bevor du überhaupt ein Passwort-Reset anforderst, und geben an, dass diese an deine E-Mail gesendet wird.
All das ist eine sehr kleine Unannehmlichkeit, da ich diese E-Mail selten für irgendetwas überprüfe. Alle E-Mails werden gefiltert und auf „Nachricht als gelesen markieren
3 „Gefällt mir“
Das Bild, das ich in der ersten Antwort nicht einfügen konnte.
Wenn Gmail mehr als eine Nachricht mit demselben Betreff erhält, fasst sie zusammen.
Ich vermute, dass sie nach 100 gleichen Nachrichten einfach zu den nächsten 100 Nachrichten übergehen.
5 „Gefällt mir“
Gute Informationen. Lass uns morgen Fortschritte dabei machen, @riking.
6 „Gefällt mir“
Ein einfacher Workaround besteht darin, deine E-Mail-Adresse von test@gmail.com in test+SOMESECRETONLYYOUKNOW@gmail.com zu ändern.
Die E-Mails von Discourse werden weiterhin an dein normales Gmail-Konto geleitet, aber niemand kann dir Passwörter zurücksetzen lassen, und niemand kann einen sicheren Hash erraten.
Ich denke, praktisch gesehen ist dies in diesem Fall die beste Lösung.
Wir könnten die Rate-Limiting-Grenze sogar auf einmal pro Woche senken, und es wäre dennoch lästig. Durch die Verwendung von +-Adressierung löst du dein Problem vollständig.
12 „Gefällt mir“
Wir können die Anfragen für einen bestimmten Benutzer zusätzlich zu Anfragen von einem bestimmten Ort (eine Grenze, die derzeit recht gut funktioniert) drosseln. Vielleicht sollten wir Personen bis zu 2 nicht abgelaufene Zurücksetzungs-Token gewähren, bevor wir sagen: „Bitte warten Sie einfach auf die E-Mail“?
6 „Gefällt mir“
Eine andere Möglichkeit besteht darin, die E-Mails zum Zurücksetzen des Passworts zeitlich zu begrenzen, z. B. auf 3 Stunden zwischen den Tokens. Falls eine Anfrage zum Zurücksetzen des Passworts vor Ablauf der Abkühlzeit gestellt wird, kann eine einfache Meldung angezeigt werden: „Wir haben bereits eine E-Mail zum Zurücksetzen des Passworts gesendet. Bitte überprüfen Sie Ihren Posteingang. Wenn die E-Mail nicht innerhalb der nächsten 2 Stunden eintrifft, wenden Sie sich an den Site-Administrator unter %contact_email% für weitere Hilfe.“
2 „Gefällt mir“
Ich habe die E-Mail-Adresse im Forum auf ‘email+something@gmail.com’ geändert und habe es im Inkognito-Modus in einem anderen Browser getestet. Es hat trotzdem funktioniert. Vielleicht liegt das daran, dass die Anfrage immer nur mit dem Benutzernamen gestellt wird und nie mit der tatsächlichen E-Mail-Adresse.
Momentan sind alle gefälschten Anfragen gestoppt, da Dan das Problem entweder privat mit dem einzelnen Nutzer geklärt oder auf andere Weise behoben hat.
Wenn es eine Option für eine Sicherheitsfrage gäbe (die auf Benutzerebene aktiviert werden könnte), wäre ich mir sicher, dass dies die Anzahl der Anfragen erheblich reduzieren würde, da der Troll einfach nicht die richtige Antwort kennen würde. „Was ist dein Lieblingsfilm?
3 „Gefällt mir“
Ich vermute, das Problem ist, dass man einfach ein Forum nach Benutzernamen durchsuchen und dann eine „Passwort vergessen“-Flut auslösen kann.
Vielleicht fügen wir einen Modus hinzu, bei dem man die E-Mail-Adresse exakt eingeben muss, um „Passwort vergessen“ zu nutzen – „Passwort vergessen (streng)“, standardmäßig deaktiviert?
Ich finde, selbst wenn wir nur einmal pro Woche getrollt werden, ist das schon zu viel. Wir können uns hier nicht einfach durch Rate-Limiting retten.
11 „Gefällt mir“
Gibt es eine Möglichkeit, ein oder zwei kostenlose Zurücksetzungen zuerst anzubieten, bevor die exakte Eingabe erzwungen wird, innerhalb eines bestimmten Zeitraums? Oder vielleicht die exakte Eingabe erst nach einer bestimmten Anzahl von Zurücksetzungen für ein einzelnes Konto zu aktivieren, aber automatisch global? 
Einige von uns wissen buchstäblich nicht einmal, welcher Tag heute ist, geschweige denn, sich ohne Fehler unsere genaue E-Mail-Adresse leicht zu merken.
@Chinaski, ich hoffe, das wird für dich schnell und endlich gelöst.
8 „Gefällt mir“
Vielen Dank an alle für die Antworten. Ich hoffe, dass das oben Genannte funktioniert, da es derzeit die direkteste Lösung zu sein scheint. Ich habe es jedoch nicht getestet, seit die Belästigung nachgelassen hat. (Der potenzielle Angreifer gibt an, dass er Gäste auf seinem WLAN ausgeschaltet hat, aber wir können nicht sicher sein, ob dies die Quelle war.)
2 „Gefällt mir“
Bei Tausenden aktiver Nutzer (wir sind noch dabei, auf Discourse zu migrieren) kann ich deinen Schmerz gut nachvollziehen. Das kommt ständig vor – Leute vergessen, welche E-Mail-Adresse sie verwendet haben, und so weiter. Das ist seit Jahren eine unserer häufigsten Supportanfragen, das ist einfach verrückt.
2 „Gefällt mir“
Die Anforderung einer E-Mail-Eingabe bei ‘Passwort vergessen’ wird sicherlich niemals eine Standardoption dieser Art sein.
Aber wenn ein Forum belagert wird, wie im Fall des OP, könnte dies ein einfacher Schalter sein, den Sie für ein paar Wochen aktivieren, um diesen lästigen Hack zu stoppen.
5 „Gefällt mir“
Per
Ich habe die Regeln verschärft, sodass ein Benutzer im schlimmsten Fall nur noch 6 Zurücksetzungen pro Tag durchführen kann. Das sollte die Anzahl der E-Mails in gewissem Maße begrenzen.
Außerdem habe ich mich an den Rat von @riking gehalten und wir respektieren nun blockierte E-Mail-Adressen. Wenn du also als Admin eine IP-Adresse blockierst, kann diese IP nicht weiter an diesem „Spiel
10 „Gefällt mir“
