【Django】ログイン試行回数制限：パスワード認証失敗時のアカウントロック（django-axes）

2022.01.01 / 2022.01.01

本記事ではDjangoで作成したWebアプリケーションに、ログインの試行回数に制限を設ける方法を解説していきます。

一定回数連続でパスワード認証を失敗した場合にアカウントをロックすることは、ブルートフォース攻撃の対策になります。

アカウントロックは公開しているWebアプリケーションでは必須の機能です。本記事を通してDjangoにアカウントロック機能を追加する方法を学んでください。

ここではライブラリdjango-axesを利用します。本記事で利用するPythonなどのバージョンは以下の通りです。

Python：3.9.7
Django：4.0
django-axes：5.28.0

Djangoにログイン認証機能を設置する方法に関しては以下記事をご参照ください。

ログイン試行回数制限：アカウントロック機能とは

ログイン試行回数制限とは、一定回数ログインを失敗した場合にそのアカウント（IPアドレス）からログインできなくする機能です。

ログインを必要とするWebアプリケーションの場合、ログインに一定回数失敗した際にそのアカウントをロックする機能は必要になります。

アカウントをロックしてログインを何度も試みられなくすることは、ブルートフォース攻撃（総当たり攻撃）の対策になります。

ブルートフォース攻撃とは

ブルートフォース攻撃（Brute Force Attack）とは「総当たり攻撃」とも呼ばれるパスワードを解読する攻撃の１つです。

パスワードを解読するために、あらゆるパターンのパスワードを試みてパスワードを解読します。この攻撃の特徴としては時間がかかるが、いつかはパスワードを解読できるということです。

今でも実際にこの攻撃は犯罪で利用されています。

ブルートフォース攻撃を防ぐための一番の方法は、Webアプリケーション側にアカウントロック機能を組み込むことです。

ログイン試行回数制限の実装

DjangoによるWebアプリケーションにログイン試行回数制限（アカウントロック機能）を実装する流れは以下の通りです。

django-axesのインストール
settings.pyに設定の追加
マイグレーションの実行

django-axesのインストール

ログイン試行回数制限（アカウントロック機能）を組み込むには、ライブラリdjango-axesを利用します。

まずpipコマンドでdjango-axesをインストールします。

pip install django-axes

settings.py：django-axesの追加

Djangoで「django-axes」が利用できるようにsettings.pyを編集します。

settings.pyの「INSTALLED_APPS」、「MIDDLEWARE」、「AUTHENTICATION_BACKENDS」に以下の通り設定値を追加します。

INSTALLED_APPS = [
    …
    'axes',
]

MIDDLEWARE = [
    …
    'axes.middleware.AxesMiddleware',
]

AUTHENTICATION_BACKENDS = [
    'axes.backends.AxesBackend',
    'django.contrib.auth.backends.ModelBackend',
]

注意点

「axes.backends.AxesBackend」は「django.contrib.auth.backends.ModelBackend」よりも前に追加する必要があります

マイグレーションの実行

「django-axes」で利用するテーブル（axes_accessattempt、axes_accesslog）を生成します。

管理コマンドユーティリティのmanage.pyを使ってマイグレーションを実行します。

python manage.py migrate

上記コマンドによりアカウントロック機能に必要なテーブルが生成されました。

アカウントロック機能の確認

実際にログインを失敗してアカウントをロックしてみましょう。

デフォルトでは３回連続で失敗することでアカウントがロックされます。アカウントがロックされると以下の文言が表示されます。

Account locked: too many login attempts. Contact an admin to unlock your account.

初期設定では接続するIPアドレスでロックを行っているため、ほかのアカウントでログインを試みても同様の文言が表示されます。

ロックされたアカウントの解除

ロックされたアカウントはデフォルトでは手動でのみ解除できます。方法は以下の３つあります。

コマンドによる解除
管理サイトから解除
django-axesのAPIから解除

コマンドによるアカウントロック解除

コマンドからアカウントロック解除を解除するには管理コマンドユーティリティのmanage.pyのコマンドを使用します。

すべてのアカウントロックを解除するには以下のコマンドを実行します。

python manage.py axes_reset

ロックされたアカウント名を指定してロックを解除するには以下のコマンドを実行します。

python manage.py axes_reset_username [username]

IPアドレスを指定してアカウントロックを解除するには以下のコマンドを実行します。

python manage.py axes_reset_ip [ip address]

管理サイトからアカウントロックの解除

私の場合、業務上では管理サイトからアカウントロックを解除することがほとんどです。

管理サイトからアカウントロックを解除する方法は以下の通りです。

Djangoの管理サイトにログイン
AXESの「Access attempts」を選択

該当のレコードを選択する

「Delete」を押してレコードを削除する

上記操作により、ロックされていたアカウント（IPアドレス）が解除されます。

アカウントロック機能の設定カスタマイズ

「django-axes」によるアカウントロック機能はデフォルトでは以下の設定となっています。

３回の連続ログイン失敗でアカウントロック
IPアドレスでアカウントロックがされる
自動でロックは解除されない（手動による解除が必要）
アカウントロック時に表示される文言が「Account locked: too many login attempts. Contact an admin to unlock your account.」

上記にあげた初期設定やそのほかの設定を細かく変更することができます。設定をカスタマイズするには設定ファイルsettings.pyを編集します。

各種カスタマイズについて解説していきます。