Kevin Adametz
5dfd622141
Restliche Phase 4 aus dem Sicherheitsaudit 07.10.2026: - Sicherheitsseite: „Andere Geräte abmelden“ rotiert remember_token und beendet alle anderen Sessions, die aktuelle bleibt (nicht während einer Impersonation). - LoginIpThrottle: 20 Fehlversuche je IP in 15 Minuten über alle Konten. Gezählt über das Failed-Event, damit Livewire-Login und Fortifys POST /login denselben Zähler teilen; Erfolg setzt ihn nicht zurück. - Sperrmarke für Sessions in users.sessions_revoked_at_ms statt nur im Cache — übersteht cache:clear. Die alte Cache-Marke zählt übergangsweise mit und kann im nächsten Release entfallen. - Neue und geänderte Passwörter: mindestens 12 Zeichen, in Produktion zusätzlich uncompromised() (HIBP, k-Anonymität). Bestehende bleiben gültig. - Content-Security-Policy-Report-Only in Produktion; Meldungen über /csp-report nach storage/logs/csp-*.log, je Meldung höchstens einmal pro Stunde, ohne Query und tokenartige Pfadsegmente. Migration: users.sessions_revoked_at_ms (users hat FULLTEXT, 25 MB, Sekunden). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
43 lines
1.3 KiB
PHP
43 lines
1.3 KiB
PHP
<?php
|
|
|
|
namespace App\Services\Auth;
|
|
|
|
use Illuminate\Support\Facades\RateLimiter;
|
|
|
|
/**
|
|
* Obergrenze für fehlgeschlagene Anmeldungen je IP-Adresse über alle Konten
|
|
* hinweg (Sicherheitsaudit 07.10.2026, Phase 4). Das Limit je Adresse und IP
|
|
* (5 pro Minute) bremst kein Durchprobieren vieler fremder Adressen von einer
|
|
* Quelle — davon kamen laut Monitoring rund 250 Versuche am Tag. Gezählt
|
|
* wird über das `Failed`-Event, damit Livewire-Anmeldung und Fortifys
|
|
* `POST /login` denselben Zähler teilen. Erfolgreiche Anmeldungen setzen ihn
|
|
* bewusst nicht zurück — sonst reichte ein eigenes Konto zum Entsperren.
|
|
* Wirkt erst, seit gefälschte X-Forwarded-For-Header ignoriert werden
|
|
* (config/trustedproxy.php).
|
|
*/
|
|
class LoginIpThrottle
|
|
{
|
|
public const MAX_FAILURES = 20;
|
|
|
|
public const DECAY_SECONDS = 900;
|
|
|
|
public function recordFailure(?string $ip): void
|
|
{
|
|
RateLimiter::hit($this->key($ip), self::DECAY_SECONDS);
|
|
}
|
|
|
|
public function isBlocked(?string $ip): bool
|
|
{
|
|
return RateLimiter::tooManyAttempts($this->key($ip), self::MAX_FAILURES);
|
|
}
|
|
|
|
public function availableIn(?string $ip): int
|
|
{
|
|
return RateLimiter::availableIn($this->key($ip));
|
|
}
|
|
|
|
private function key(?string $ip): string
|
|
{
|
|
return 'login-failures-ip|'.($ip ?? 'unknown');
|
|
}
|
|
}
|