Безопасность в Php

Это md5 + некоторые значения переменных
точнее to=tototo&to2=to2to2to2

А поподробней можно о бональном брутфорсе? Че-то не встречался. Что это?

[Sheryld]

brute force - грубая сила(с англ.)
в интернете это вид атаки, который подразумевает чаще всего способ атаки "в лоб". пример: взлом пароля, путем простого перебора.

[Saruman]

PASHAN
Получение действующего логина/пароля путем прямого перебора вариантов

[Hubbitus]

брутфорс - это прямой перебор паролей.
http://adelaida.by.ru/manual/program...fors_perl.html

И если честно, я так и не понял, в чем же заключается эта "сложность защиты"???

И как с этим брутфорсом лучше всего бороться?? Но я прочитал ту статью! И там написано что это для папки тока. например Admin
Но в моем случае папка не запароленная. А просто идет сравнение с conf.php

[Saruman]

PASHAN
Простейшие варианты борьбы:
1. Давать несколько попыток ввода пароль, затем блокировать аккаунт на некоторое время. К примеру, после 5 ошибки блокировать на 15 минут. Это сделает брутфорс невозможным.
2. Несколько усложненный предыдщий вариант - после каждой последующей ошибки увеличивать время задержки до следующего ввода. К примеру, первые три попытки идут без задержки, затем делается задержка в 10 секунд, при следующей ошибке - 20 секунд и т.д. После 10-20 неверных угадываний задержка вырастет настолько, что опять же перебор будет невозможен.
3. Можно использовать ту же Visual Captcha и т.п. - т.е. рядом с окошком ввода пароля выводится в графическом виде некий зашумленный текст, который пользователь также должен ввести. Роботам его распознать достаточно сложно => они не смогут логиниться.

Вот про 1 вариант! Можешь написать скриптик? А то я со временем ниразу не сталкивался как-то.

[Saruman]

PASHAN
Сохраняешь в файле или БД число ошибок, время последнего доступа и т.п. При ошибке делаешь инкремент числа, если при попытке доступа число ошибок больше критического, проверяешь, сколько прошло времени, и в зависимости от этого запрещаешь доступ без дальнейших проверок или сбрасываешь счетчики и по новой.
Думаю, сам напишешь.

Saruman
3-й способ - это гемморой для пользователя.
При частых логинах набирать случайный текст с картинки не самое интересное занятие...

Самый оптимальный способ борьбы с брутфорсом - это все-таки подсчет количества попыток логина, и после 3-5 неправильной - установка таймаута и при этом можно еще отправить уведомление пользователю на мыло об этом.

Также, после множества неверных попыток логина нужно предложить юзеру все таки воспользоваться сервисом смены пароля. В противном случае аккаунт блокируется на более долгое время (12-24 часа)...

[Saruman]

D1g174LM4n14c
Дык мы тут, вообще-то, вопросы юзабилити пока и не рассматриваем, посколько не имеем конкретной задачи применения авторизации. И что в одних случаях геморрой - в других есть оптимальное решение.

Saruman
Установки таймаута вполне хватит для почти всех случаев. А там где и этого мало - следует уже подумать, а не нужно ли пользоваться более надежными методами защиты (например, тот же https).

[Saruman]

D1g174LM4n14c
Captcha практически 100% помогает от регистрирующихся ботов. Если это важно - то никакие таймауты ее не заменят.

Saruman
Естественно! Но для РЕГИСТРАЦИИ, а не ЛОГИНА!

[Saruman]

D1g174LM4n14c
Не вижу разницы. Я могу нарегить вручную пару десятков аккаунтов, а потом натравить на них бота по готовой базе логинов/паролей.

[RaZEr]

А зачем регистрировать ... аккаунты уже есть. Вопрос за тем, чтобы подобрать пароли. А если картинки в логине нет, то это не такая уж проблема.

[Saruman]

RaZEr
Как раз таки от простого перебора паролей прекрасно защитят и обычные таймауты. Как ты будешь брутфорсить, если у тебя после 20-30 попыток будут задержки по 5 минут между попытками? Так что защититься от подбора паролей не проблема.

[RaZEr]

От тебя саруман я такой глупости, честно говоря, не ожидал.

Ps: Бот чередует логины. Таймаут ставить просто не на что ...

[Saruman]

RaZEr
На айпи можно таймауты ставить, кроме логинов. Если он при этом лезет еще и с разных ip - уже другой вопрос. Но в любом случае, это достаточно затрудняет процесс. Сколько у тебя лист проксей, 5000, допустим? А сколько нужно перебрать вариантов паролей? Вот и считай.

Saruman
А смысл?
Ты САМ зарегистрируешь аккаунты и САМ будешь их ломать?

При регистрации captcha нужна. А при логине - нет. Хватит установки таймаута. Это явно понятно. Таким образом аккаунты боты плодить не смогут и подбирать пароли - тоже.

Здесь речь идет о ВЗЛОМЕ аккаунта брутфорсом, где таймаут защитит очень удачно.

[Saruman]

D1g174LM4n14c
А что, единственное, что можно делать с аккаунтами - это их ломать? 8)) Тогда действительно все это совершенно не нужно 8))