🚀 go-pugleaf

Pieter Philippaerts writes:

> "Vincent Spruyt" <info@computersecurity.be> wrote in message
> news:Xns929ED8F15394Dwww.computersecurity@195.130.132.65...
>> Nu vroeg ik me af of er geen minder omslachtige manier is in php om
>> dit te bereiken...

> Een iets minder omslachtige manier [denk ik] is de volgende: als een
> gebruiker inlogt met een fout paswoord, wacht dan enkele seconden
> eerdat je hem verwittigd dat het paswoord fout is. Daarenboven wordt
> het maximum aantal connecties van eenzelfde IP adres gelimiteerd. Op
> die manier moet je geen history gaan bijhouden, maar enkel de IP
> adressen die op een bepaald moment geconnecteerd zijn.

> Als je je afvraagt ofdat dit wel een goede bescherming is kan je
> even gaan rekenen: stel dat het paswoord 8 karakters lang is,
> waarbij er 100 verschillende karakters kunnen gebruikt worden. Als
> de aanvaller brute force gebruikt, dan gaat die gemiddeld vijf
> miljoen miljard keer moeten proberen eerdat hij de juiste combinatie
> gevonden heeft [wat in feite een onderschatting is aangezien je er
> hier vanuit gaat dat de aanvaller op voorhand weet dat het paswoord
> 8 karakters lang is]. Als je het maximum aantal gelijktijdige
> requests per IPs vastlegt op 5 en de wachttijd op 3 seconden, dan
> kunnen we uitrekenen dat de aanvaller er (5000000000000000 /
> 5) * 3 seconden over gaat doen [in het beste geval], wat dus
>      equivalent is
> met ongeveer 95000 millennia.

Houdt die rekensom rekening met het feit dat het overgrote deel van
alle paswoorden uit A-Za-z0-9-_./:!;=,)( en nog een aantal karakters
bestaat, en dan nog over het algemeen in een vrij karakteristieke
volgorde ?
Nu ja, het zou toch nog een aantal jaar moeten duren om ze allemaal te
proberen, vermoed ik...
sjuus
domi 

-- 
Q:	Heard about the <ethnic> who couldn't spell?
A:	He spent the night in a warehouse.