(5 stellig) 1 sekunden verzögerung = 29 jahre
(5 stellig) 5 sekunden verzögerung = 145 jahre
(5 stellig) 5 sekunden verzögerung = 203 jahre
(5 stellig) 11 sekunden verzögerung = 320 jahre

jetzt bin ich beruhigter
etwas...
ich denke 11 sek. wartezeit kann man verkraften oder?

[quote=master,20.10.2003, 21:08]login.pl?$psw=42342fgdgd[/quote]
Das sieht ja so aus, als würdest Du aus dem HTML-Formular heraus Paßwörter sichtbar mit GET übertragen. Also erst einmal ist das POST angesagt. Wenn Du so ein sicheres Teil bauen willst, dann kommst du auch nicht darum, https.// zu nutzen. Außerdem, wenn ein User in einer besonders sicher seienden Seite 3x ein falsche Paßwort eingibt, dann ist er unsicher und muß zwangsläufig verbannt werden.

1. ich kann das psw oben ja kodieren..
2. übertrage ich oben eine sessionID.


beim einwählen jedoch wird POST benutzt.


war nur ein beispiel.

Frage was ist besser?

A: alle 7 sekunden 1 passwort eingabe erlauben?
B: 20 passworteingaben erauben und nachach (wenn falsch) 4 min warten(etwas sicherer)?


ps. was ist user freundlicher?




(5 stellig) 1 sekunden verzögerung = 29 jahre
(5 stellig) 5 sekunden verzögerung = 145 jahre
(5 stellig) 7 sekunden verzögerung = 203 jahre
(5 stellig) 11 sekunden verzögerung = 320 jahre



Versuche 10 versuche zu 2min
versuche 20 zu 5 min sperrzeit 430 jahre bis knackpunkt!\n\n

<!--EDIT|master|1066679217-->

1) @steffenw: https hat nicht wirklich was mit password attacken zu tun - diese verhindert nun man-in-the-middle attacken
2) selbst wenn 1000000 Rechner pro sekunde ungreifen, haben sie jedoch kein globales wissen; will heißen, dass Client X nicht weiß, welche Anfragen Client Y schon gemacht hat...
darum müssten sie sich schon untereinander verständigen...

Ich habe mir die Beiträge von BeDa bei dem perl.de-Forum angeschaut, was nichts mit dem zu tun hat, wo wir hier mal herkommen. Was er da schreibt ist schon etwas krank. Überlege Dir mal, was Du sichern willst und wie die Wahrscheinlichkeit ist, es zu knacken, dann kommst Du selbst drauf. Schlafe erst einmal darüber, dann sieht die Welt schon klarer aus. Übertreibe es nicht unnötig.

Irrtum... ;-)

sie können sich im vorfeld vorbeireiten..


also

PC1 prüft:
hallo
hall
hal
ha
ha


PC2 prüft:
hullu
hull
hul
hu

usw.

das muss nicht zur laufzeit geschehen...


der der den erfolg hat schreibt ihn in einer DB :-)

gruss

[quote=esskar,20.10.2003, 21:54]1) @steffenw: https hat nicht wirklich was mit password attacken zu tun - diese verhindert nun man-in-the-middle attacken[/quote]
Das hatte ich nur geschrieben, weil ich .pl? gelesen hatte, man also das Paßwort ausspionieren kann.

ist meine methode nun sichergenung?
z.B. für kreditkarten informationen oder
wenn leben davon abhängen?


Sicherrungsmethoden:

(5 stellig) 1 sekunden verzögerung = 29 jahre
(5 stellig) 5 sekunden verzögerung = 145 jahre
(5 stellig) 5 sekunden verzögerung = 203 jahre
(5 stellig) 11 sekunden verzögerung = 320 jahre


10 versuche zu 1.8 min
20 versuche zu 3.6 min.

was aber wenn z.b. nur ca. 1000 rechner angreiffen und ständig IP ändern..
*nachdenk*
mit meiner methode trozdem nicht zu knacken..

Zeit killt jeden hacker.
davon bin ich fest überzeugt.