🚀 go-pugleaf

"Vincent Spruyt" <info@computersecurity.be> wrote in message
news:Xns929ED8F15394Dwww.computersecurity@195.130.132.65...
> Nu vroeg ik me af of er geen minder omslachtige manier is in php om dit
> te bereiken...

Een iets minder omslachtige manier [denk ik] is de volgende: als een
gebruiker inlogt met een fout paswoord, wacht dan enkele seconden eerdat je
hem verwittigd dat het paswoord fout is. Daarenboven wordt het maximum
aantal connecties van eenzelfde IP adres gelimiteerd. Op die manier moet je
geen history gaan bijhouden, maar enkel de IP adressen die op een bepaald
moment geconnecteerd zijn.

Als je je afvraagt ofdat dit wel een goede bescherming is kan je even gaan
rekenen: stel dat het paswoord 8 karakters lang is, waarbij er 100
verschillende karakters kunnen gebruikt worden. Als de aanvaller brute force
gebruikt, dan gaat die gemiddeld vijf miljoen miljard keer moeten proberen
eerdat hij de juiste combinatie gevonden heeft [wat in feite een
onderschatting is aangezien je er hier vanuit gaat dat de aanvaller op
voorhand weet dat het paswoord 8 karakters lang is]. Als je het maximum
aantal gelijktijdige requests per IPs vastlegt op 5 en de wachttijd op 3
seconden, dan kunnen we uitrekenen dat de aanvaller er (5000000000000000 /
5) * 3 seconden over gaat doen [in het beste geval], wat dus equivalent is
met ongeveer 95000 millennia.

Mvg,
Pieter Philippaerts