j[SrSSKJrJrJr SSKJrJr SSKJr SSK J r SSK r SSK r SSK r SSKJr SSKJr S rS rS rS rS rSrSrSrSrSrSrSrSrSrS\4Sjr S\\!S\!4Sjr"S\\!S\!4Sjr#S\$4Sjr%S\!4Sjr&S \4S!jr'S\!S\!S\$4S"jr(S=S\!S\!S\S#4S$jjr)S\!S\!SS4S%jr*S&\!S'\!S \S\$4S(jr+S)\!S*\S\\!4S+jr,S=S&\!S'\!S)\!S,\-S \S*\\4 S-jjr.S\\!4S.jr/S\\!4S/jr0S \SS4S0jr1S1\\S\!4S2jr2S3r3S>S4\-4S5jjr4S \S6\\-S7\!SS4S8jr5S9\-S\$4S:jr6S=S'\\!S\S#4S;jjr7S\84S<jr9g)?u Bejelentkezés-védelem (brute-force ellen): sikertelen kísérletek számlálása az ADATBÁZISBAN, tiltások, a rendszeradmin értesítése és a tiltás feloldása. (2026-10-04, D szelet) Részletes leírás Miklósnak és a jövőbeli fejlesztőknek: docs/LOGIN_VEDELEM.md MI VÁLTOZOTT A RÉGIHEZ KÉPEST? Régen (security.py) a próbálkozásokat a folyamat memóriája számolta: 3 gunicorn workernél workerenként külön (a valódi határ így akár 3x annyi volt), újraindításkor nullázódott, és senki nem tudott róla, ha valakit kizártak. Most: - a számlálás a `login_kiserletek` táblában van (minden worker ugyanazt látja), - a határ elérésekor TILTÁS keletkezik (`login_tiltasok`), nem csak "pár percig nem enged", - valós fiók tiltásáról a rendszeradmin e-mailt kap, - ismétlődő tiltásnál a tiltás VÉGLEGES lesz, amíg a rendszeradmin (csak ő!) fel nem oldja. SZABÁLYOK Határ (5 perces ablakban): 8 sikertelen kísérlet egy fiókra (e-mailre) VAGY 20 egy IP-ről. Tiltás hossza: 15 perc; ha ugyanarra az azonosítóra 24 órán belül ismét tiltás kell, 60 perc; a HARMADIK 24 órán belüli tiltás VÉGLEGES - de csak VALÓS, NEM rendszeradmin fiók esetén. A rendszeradmin fiókját SOHA nem lehet véglegesen kizárni (különben egy támadó örökre kizárhatná az egyetlen embert, aki a tiltásokat oldhatja) - őt csak időzítve tiltjuk. IP-tiltás sosem végleges (egy közös céges NAT-ot nem akarunk örökre kizárni). "VALÓS FIÓK" (a felhasználó kifejezett kérése: "csak valós felhasználók esetére") - fiók (e-mail) tiltásnál: az e-mail egy LÉTEZŐ felhasználóé (kis/nagybetű nélkül); - IP-tiltásnál: az adott IP-ről az ablakban legalább egy LÉTEZŐ fiókot próbáltak. Csak valós tiltásról megy értesítő levél és csak valós fiók kaphat végleges tiltást. Ismeretlen címekre (botok, elírás) időzített tiltás van, értesítés nélkül. AZ ENUMERÁCIÓ ELLENI VÉDELEM A /login válasza minden esetben ugyanaz (lásd routers/auth.py): a tiltott és a nem tiltott válasza ugyanaz a szöveg, és a "nem létező fiók" is ugyanúgy viselkedik. A felhasználó szempontjából nem derül ki, hogy a cím létezik-e. (Egyetlen finom különbség: a nem létező címek tiltása 15 perc után mindig feloldódik, a valósé véglegessé válhat - ezt hosszan, sok tiltás után lehetne megfigyelni; ezt tudatosan vállaljuk, lásd docs/LOGIN_VEDELEM.md.) TRANZAKCIÓ: a függvények a hívó `db` session-jét használják és maguk commitolnak (a /login kérés végén nincs más módosítás). Hiba esetén a bejelentkezést NEM állítják meg: a számlálás vagy az értesítés elromlása nem akadályozhatja a bejelentkezést (a hiba a konzolra kerül). )datetime timedeltatimezone)ListOptional)func)IntegrityErrorN) SessionLocal)HELYI_TZi,< Zu Hibás e-mail cím vagy jelszó!uTúl sok sikertelen bejelentkezési kísérlet történt erről a címről/fiókról. Kérjük, várj egy kicsit, mielőtt újra próbálkozol! Ha ez többször előfordul, fordulj a rendszergazdához.returncd[R"[R5R SS9$)uDTz nélküli UTC pillanat (a DB-ben így tároljuk az időpontokat).Ntzinfo)rnowrutcreplace!/var/www/website/login_vedelem.py _utc_mostr!Ms# << % - -T - ::remailc^U=(d SR5R5S[$)N)striplower KEZELT_HOSSZ)r"s r _email_kulcsr(Rs% KR   & & (, 77ripc:U=(d SR5SS$)N ismeretlen@)r%)r)s r _ip_kulcsr-Vs  , % % ' ,,rcbUSL=(a% URS:H=(a URS:H$)NAdminr)role company_id)users r _rendszeradmin_er3Zs) t  M W 4 MA9MMremail_kisbetuscU(dgUR[R5R[R "[RR 5U:H5R5$N)querymodelsUserfilterrr&r"first)dbr4s r _felhasznalo_email_szerintr=_sG  88FKK ' ' 6;;3D3D(E(W X ^ ^ ``rmostc[RnURU5RURR S5UR R S5UR U:-5$r6)r8 LoginTiltasr7r: feloldva_atis_lejar_at)r<r>Ts r _aktiv_tiltasok_lekerdezesrEhsXA 88A;   $  !**t"34 rcj[Rn[U5[U5pT[ U[ 55R URS:HURU:H-URS:HURU:H--5nURUR55R5SL$)uXIgaz, ha az IP-re VAGY az e-mailre aktív tiltás van (nem feloldott, és nem járt le).r)r"T) r8r@r-r(rEr!r:tipus azonositor7existsscalar)r<r)r"rDip_kemail_kqs r tiltva_erNpsAbM<#6'"2y{3:: ''T/akkT1 278Jq{{^eOe7fg A 88AHHJ  & & (D 00rzmodels.LoginTiltasc VUR5 [5n[U5[U5peUR [ R "XVUS95 UR5 U[[S9- n[ R nUR[R"UR55RURU:HUR U:5R#5=(d Sn UR[R"UR55RUR$U:HUR U:5R#5=(d Sn Sn U(a+U [&:a![)USXd5(d[+USXeXU5n U [,:a+[)USXT5(d[+USXUU SXGS9n U =(d U n UR/5 U $![0a>n UR5 [3S[5U 5R6S U 35 Sn A gSn A ff=f) uEgy sikertelen kísérlet rögzítése; ha ezzel elértük a határt, tiltást hoz létre. Visszatérés: az újonnan létrehozott tiltás (vagy None). SOSEM dob kivételt.)r)r"idopontsecondsrNr"r)) ablak_kezdetuH❌ Login-védelem: a sikertelen kísérlet rögzítése nem sikerült: : )rollbackr!r-r(addr8 LoginKiserletflushrABLAK_MASODPERCr7rcountidr:r)rPrJr"MAX_KISERLET_EMAIL_van_aktiv_tiltas_tiltas_letrehozMAX_KISERLET_IPcommit Exceptionprinttype__name__)r<r)r"r2r>rKrLrSKip_dbemail_dbuj ip_tiltases r sikertelen_rogziteserkzs {!" |E':g v##tDIJ  i@@  ADD)*11!$$$, \@YZaachgh88DJJqtt,-44QWW5GVbIbcjjlqpq  x#55>OPRT[]d>k>k!"gwhdSB O #,=b$,S,S(T4udDlIyB    XY]^_Y`YiYiXjjlmnlopqsGG H(*4H##H(czUR[R5R[RR[ U5:H5R SS9 UR5 g![a>nUR5 [S[U5RSU35 SnAgSnAff=f)uSikeres bejelentkezés után az adott FIÓK sikertelen kísérleteinek törlése. Szándékos változás a régihez képest: az IP más fiókokra vonatkozó kísérleteit NEM töröljük (régen egy sikeres bejelentkezés az egész IP számlálóját nullázta - egy támadó a saját, érvényes fiókjával időnként "kinullázhatta" volna a saját IP-je számlálóját). SOSEM dob kivételt.Fsynchronize_sessionu<❌ Login-védelem: a kísérletek törlése nem sikerült: rTN) r7r8rWr:r"r(deleter`rarUrbrcrd)r<r)r"rjs r sikeres_torleserps f %%&--f.B.B.H.HLY^L_._`gg}Bg C f  LTRSWM]M]L^^`ab`cdeefsA/A22 B:<4B55B:rGrHc[Rn[X5RURU:HUR U:H5nUR UR55R5SL$)NT) r8r@rEr:rGrHr7rIrJ)r<rGrHr>rDrMs r r]r]sZA"2,33AGGu4DakkU^F^_A 88AHHJ  & & (D 00rrKrSc[RnURUR5R UR U:HUR U:5R5RS5R5Vs/sHoDS(dMUSPM nnU(d/$UR[R"[RR55R [R"[RR5RU55R5n[UVs1sHoDSiM sn5SS$s snfs snf)uhAz IP-ről az ablakban próbált e-mail címek közül a LÉTEZŐ felhasználók címei (legfeljebb 10).2rNr)r8rWr7r"r:r)rPdistinctlimitallrr&r9in_sorted)r<rKrSrercimekletezoks r _valos_fiokok_az_ip_rolr|sA88AGG,33ADDDL!))|B[\eegmmnpquuw Awa}~{TQqTwE A  hhtzz&++"3"345<rSrDrr felhasznaloablakutolso_feloldaskezdetkorabbirperclejarkulcssorrjs r r^r^sAH EK G8G 4'*2\5pdY_nMoFoqX 9#56 6Ehhtxx 67>> 5!++2A4E4E4K4KD4QSSYSYS[,;S (Fhhtzz!$$'(// 5!++2AOOv4MOOUvx][\   8U 8+;K+H'H 8 q[7 7  '!| 1EDD$4)@"@EgQyk "EHHQK  D!QZZ%5%5d%;qzzT?Q%RS fmT "f> uW_#K+..]a-8;))d%(08$d  C  __  FF3K  #"v"~~8!-2g-='4!H9+UWQY"Mbfaggl_m!nnp"/0F H 2sK6 #" J& J7  #"" J  # klpqrlsl|l|k}}AB@CD E"CMM J  #sg>NN N0N4A.N".N4 N NN NN" N1,N41N44 O4>+O//O4c 8UR[RR5R [RR S:H[RR S:H[RRRS5[RRRS5[RRRS55R5nUVs/sHo"S(dMUSPM sn$s snf)Nr/rTFr) r7r8r9r"r:r0r1aktivrB aktivalvarrv)r<sorokrys r _rendszeradmin_cimekr s HHV[[&& ' . . G#V[[%;%;q%@ d#V[[%:%:%@%@%G % '(+su  (%QQ4DAaD% (( (s : D Dc[U5$)u|Az aktív rendszeradminisztrátorok e-mail címei (más modulok értesítéseihez, pl. a szimultán belépés jelzéséhez).)r)r<s r rendszeradmin_cimekrs  ##rcr^SSKmU4Sjn[U5nU(dSUlg[RnUR [ R"UR55RURS:HURU[SS9- :5R5=(d Sn[R"U5nURR!S5S -n U[":aUR$(dS Ul[&R("[*5R-5n [.R0"US U R353SSU 5(a:S ["S U"U 5S3n [.R4"USU S[.R6US9 gUR8S:XaSU"UR:5S3n UbuU SU"UR<53- n UR>(a*URA[RBUR>5OSn U bU SU"U RD53- n U S- n SUR:3nOSU"UR:5S3n SnUR$(aSnOSU"[GURH55S3nSnURJ(aSU"URJ5S 3nS!U S"U"URL5S#U"URN5S$US US%U"U 5S&3 n [.R4"X^U S[.R6US9nU(aSUlX1l gSUlg)'uÉrtesítő levél a rendszeradminoknak (sürgős prioritással) - csak valós tiltásról hívjuk. Árvíz-védelem: óránként legfeljebb ERTESITES_MAX_ORANKENT egyedi levél; felette naponta EGY összefoglaló ("sok tiltás történt") - így egy támadás nem öntheti el a postafiókot (és nem használja el a levél-korlátot sem). A VÉGLEGES tiltásról a korlát ellenére is megy levél: azt a rendszeradminnak tudnia KELL (és számuk eleve kicsi: fiókonként legalább 3 előzmény kell hozzá).rNcF>TRUcSSS9$[U5SS9$)Nr$T)quote)escapestr)xhtmls r _ertesites..s#4;;QYr$;GCF$;Gr nincs_cimzettelkuldverr/z/rendszeradmin/kitiltasokkorlatz bann:aradat:u

Ma több mint u~ bejelentkezési tiltás történt óránként, ezért a további tiltásokról nem küldünk külön levelet.

A tiltások listája és feloldásuk

u%Sok bejelentkezési tiltás történtrendszer) kategoria prioritasr<r"za(z) u fiókz (r)uBejelentkezési tiltás: u IP-címu Bejelentkezési tiltás: IP-címumVÉGLEGES a tiltás: addig tart, amíg a rendszeradminisztrátor fel nem oldja (csak Te oldhatod fel).u A tiltás u&-ig tart, utána magától megszűnik.r$u!

Érintett (létező) fiókok: z

z

Kitiltottuk z, mert uK sikertelen bejelentkezési kísérlet történt 5 percen belül (IP-cím: z ).

uA

Ha a felhasználó jogosult, a tiltást feloldhatod: Tiltások kezelése.

Ha nem a felhasználó próbálkozott, ne oldd fel: a tiltás védi a fiókot a jelszófeltörési kísérlettől.

)(rrrr8r@r7rrZr[r: ertesitve_atrrJemail_beallitasokbetoltalkalmazas_url_vagy_alaprstripERTESITES_MAX_ORANKENTrrrr date email_sorkikuldheto_e_es_rogzit isoformat sorba_allitPRIORITAS_SURGOSrGrHusernamer1getCompanynevhelyi_ido_szovegrCrr}r)r<rrr>_erzrD elmult_orabealllinkmatorzskicegtargymennyirdb_szamrs @r rrs GB  $E ' A$**QTT*+22 z!1>>TIAN0OQUWXZ\ ] ]()?(@A%%'XJ.]_E  ! !%)PRWcm,5,F,F2 O yyG3==)** 5  " Br+../01 1BDODZDZ"&&)?)?@`dC2cgg;-(( #IB+CMM?;3==)*, 72 ||,b!1#,,!?@AAghH ||6r#,,7G6HM "WR(9(9%:$;<%%' ^$45XT( LRPTXJWM N ##E%:.7.H.HRQG" ' rdtcUcgUR[RS9R[5R S5$)uCTz nélküli UTC időpont helyi (budapesti) időként, szövegesen.rrz%Y-%m-%d %H:%M)rrr astimezoner strftime)rs r rr[s6 z ::X\\: * 5 5h ? H HIY ZZrc[Rn[U[55R UR R 55R5$)u@Az aktív tiltások (valós és ismeretlen is), legújabb elöl.)r8r@rEr!order_byrdescrv)r<rDs r aktiv_tiltasokres=A %b)+ 6 ? ?@T@T@V W [ [ ]]rruc >[RnURU5RURR S55R URR55RU5R5nUR[R"UR55RURR S5UR[5[SS9- :5R!5=(d SnX44$)uA legutóbbi tiltások története - csak a VALÓS fiókokat érintők. Visszatérés: (lista, az elmúlt 24 órában keletkezett ismeretlen címes tiltások száma).TFrrr)r8r@r7r:rrBrrrrurvrrZr[r!rrJ)r<rurDlistar+s r legutobbi_tiltasokrks A HHQK  qww{{40 1 : :1??;O;O;Q R X XY^ _ c c eE$**QTT*+22  EAOOy{YR=P/PPRRXRXRZ`^_  r felolto_idfelolto_szovegc nX!lX1lSUl[RnUR S:XaEUR U5RURUR:H5RSS9 ODUR U5RURUR:H5RSS9 UR[R"URb UROSUSUR S:XaSOSS URUR(aS OS 3S U3S 95 g)uYA tiltás tényleges feloldása (közös a webes és a parancssoros úton). NEM commitol.Nr"Frmru Bejelentkezési tiltás feloldvarrrTu (végleges)r$z Feloldotta: )r1rrrr)rArrr8rWrGr7r:r"rHror)rVrr1r)r<rr>rrres r _feloldasrusO$COA yyG  177cmm34;;PU;V  1443==0188U8SFF6??%(^^%?3>>Q5 # W 4W$?r#--'*||^<>  01  r tiltas_idc.[U5(dg[5n[Rn[ X5R UR U:H5R5nUcg[XX2R UR5 UR5 g)uA tiltás kézi feloldása. FIGYELEM: a jogosultságot (csak rendszeradmin) a HÍVÓ ellenőrzi (routers/rendszeradmin_kitiltasok.py) - itt védelmi mélységként még egyszer megnézzük. Visszatérés: igaz, ha feloldottunk egy aktív tiltást.FT) r3r!r8r@rEr:r[r;rrr`)r<r rendszeradminr>rDrs r feloldrsw M * * ;DA $R . 5 5addi6G H N N PC { bt--}/E/EFIIK rct[5n[Rn[X5nU(aTSU;a'UR UR [ U5:H5O&UR UR [U5:H5nUR5nUHn[XUSS5 M UR5 U$)umVÉSZFELOLDÁS a szerverről (login_felold.py) arra az esetre, ha MINDEN rendszeradmint kitiltottak, és így senki nem tud belépni a felületre. Aki a szerveren parancsot futtathat, az eleve a rendszer ura, ezért itt nincs külön jogosultság-ellenőrzés. `azonosito`: egy e-mail vagy IP; None = az összes aktív tiltás. Visszatérés: a feloldott tiltások.@Nu#szerver-parancssor (vészfeloldás)) r!r8r@rEr:rHr(r-rvrr`)r<rHr>rDrMrrs r felold_parancssorbolrs ;DA"2,A@Cy@PAHHQ[[L$;; nUR+5 [-S [/U5R0S U35 SnANUSnAff=f!UR35 f=f) u@Régi kísérletek és tiltások törlése. SOSEM dob kivételt.r) kiserletektiltasok)daysFrmrNrTu+❌ Hiba a login-védelem takarításakor: rT)r r!r7r8rWr:rPrKISERLET_MEGTARTAS_NAPror@rArrCrrBrTILTAS_MEGTARTAS_NAPISMERETLEN_TILTAS_MEGTARTAS_NAPr`rarUrbrcrdclose)statr<r>rDvegerjs r takaritasrs +D B{XXf&:&:;BB  ( (4)AW2X+X X &U& + \    ##D)qzz/?/?/E!**W[J[.\] ZBHHQK.. ''++d#Q__tiMa>b7b%b &U& + , ZBHHQK.. ''++e$aooyNm?n8n&n &U& + ,  K U  ;DGr s'P32!) !" "#31 ;8; 8 8#8-(3--C-NdN a3a1S111SI]@^D fC f f f111H110c00d3i09=III3IsI`hI#+H#5IX)S )$tCy$ B(8B(B(J[(+[[^ #X8C=RUZ^* #    FZA[(4r