Timing-атака на форму входа

## Сценарий **VoltParts** — интернет-магазин электронных компонентов с обычной формой авторизации. На любую неудачную попытку сервер отвечает одинаковым сообщением о неверных данных, и со стороны кажется, что перечень учётных записей не разглашается. Инженер по безопасности площадки предположил, что одинаковый текст ещё не означает одинаковую работу сервера, и поручил вам проверить форму входа измерениями: существует ли побочный канал, по которому можно составить список реальных аккаунтов. ## Цель 1. Измерьте поведение формы входа и найдите побочный канал, разглашающий существование пользователей. 2. Перечислите реальные учётные записи среди типичных кандидатов (`admin`, `root`, `support` и другие). 3. Войдите как `admin`, оплатите товар «CTF Flag» и получите флаг в профиле. ## Теория Timing side-channel — утечка информации через время ответа. По тексту ошибки «нет такого пользователя» и «неверный пароль» здесь неразличимы, но по объёму вычислений — различны: в одном случае сервер выполняет дорогую криптографическую операцию сверки пароля по хешу, в другом — не выполняет ничего. **Уязвимый паттерн:** ```python if not row: return render_template('login.html', error='Invalid credentials') # ниже — дорогая сверка пароля по хешу, только если пользователь найден ``` Разница в стоимости работы превращается в разницу времени ответа на десятки миллисекунд. Атакующий отправляет серию запросов с логинами-кандидатами, усредняет время ответа на каждый — и существующие аккаунты устойчиво выделяются на фоне несуществующих. Это user enumeration (CWE-204) без единой подобранной буквы пароля; класс проблемы — Identification and Authentication Failures (OWASP A07:2021). ## Точка входа атаки `POST /login` — форма входа с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `SuperSecret`