Обход 2FA за 12 000 долларов — такой простой, но такой критический

[AlexanderS]

You have tried too many times. Please try again later.

Вот для тех, кто делает такие сообщения в аду приготовлена отдельная комната, с отдельным котлом и персональным обслуживанием. "later" - это когда? Минута? 10 минут? Час? Сутки?

[Raspy]

Чаще всего там нарастающий таймаут. Сначала 10 минут, потом 60, потом 24 часа, потом учётку блокируют.

[Nikudator]

Блокировка учетки - это своего рода тоже уязвимость.

[mtivkov]

Но это же не повод не сообщить конкретное время до возможности сделать следующую попытку.

[redfox0]

На одном сайте встречался с ограничением количества правок. Экспериментальным путём выяснилось, что как только начало выдаваться ratelimited, нужно подождать 10 минут, потом можно успеть сделать ещё несколько правок, и опять 10 минут. По ощущениям ограничения были двухуровневые, словно учитывалось число правок за последние часы/сутки и лимит становился строже.

[georgiy08]

Так могут писать для тех, кто жаждет продолжать использовать "переборщика". Все таки проще в коде указать timeout, когда его пишет сам сервис.

[Kovurr]

"большинство OTP обычно состоят из 3 цифр" - что? Во всех сервисах, с которыми сталкивался типичный 2FA был 6 цифр, где он 3 нашел то?

[sic]

Из трех цифр, как бы и угадать вероятность не такая уж, чтобы пренебрежимо малая, никакие rate limiter ы не помогут...