sleep() bij mislukte inlogpogingen

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Ward van der Put
Moderator

Ward van der Put

01/02/2013 10:57:30
Quote Anchor link
Beste collega's,

Ik heb een nieuw inlogsysteem dat bij mislukte inlogpogingen een toenemende vertraging geeft met sleep() en uiteindelijk een inlogpoging weigert. Prototype:

Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
<?php
// Onjuiste aanmeldingen tellen
$fails = $db->getFailedLogins();
if ($fails > 9) {
    header('HTTP/1.1 403 Forbidden', true, 403);
    exit;
}
elseif ($fails > 2) (
    sleep($fails);
}

?>


Maar ik vraag me af: hoe schaalbaar is deze oplossing? Bij een toenemend aantal mislukte inlogpogingen (bijvoorbeeld een DOS-aanval) staat een toenemend aantal processen steeds langer in de wacht. Zijn er misschien betere oplossingen?
 
PHP hulp

PHP hulp

26/04/2024 14:11:14
 
Reshad F

Reshad F

01/02/2013 13:11:19
Quote Anchor link
Ik heb op php.net eens gelezen over

Quote:
HTTP Digest Access Authentication


Dit schijnt veel effectiever te zijn om bruteforcing tegen te gaan. er zat ook een link naar een interessant artikeltje wat misschien leuk is om te lezen.

http://www.faqs.org/rfcs/rfc2617.html

Het handige hieraan is dat hackers zelfs niet willen beginnen aan bruteforcing op je website omdat ze steeds de pagina moeten downloaden om een password uit te proberen.
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.