Ich habe gesehen, wie einige große Systeme dies tun, indem sie nur nach sequentiell fehlgeschlagenen Anmeldeversuchen ein Captcha benötigen (dh: Zurücksetzen der Anzahl nach einer gültigen Anmeldung). Wenn Sie sich Sorgen über automatisiertes Cracken machen, können Sie das Captcha auf eine hohe Anzahl von Fehlern wie 20, 50, 100 fehlgeschlagene Versuche setzen. Fast kein legitimer Benutzer wird das Captcha sehen, aber ein automatisierter Angriff wird davon getroffen.

Lohnt es sich, diese Komplexität hinzuzufügen? Sicherheit und UX sind Kompromisse. Sie müssen den richtigen Kompromiss für Ihr Risikoprofil finden.

Ein Captcha auf einem Anmeldebildschirm macht keinen Sinn. Ich bin nicht überrascht, dass Ihre Benutzer es hassten. Der Zweck von Captcha-Feldern in Formularen besteht darin, zu verhindern, dass sie von Bots gesendet werden. Ein Bot sollte sich nicht über Ihren Anmeldebildschirm anmelden können, da er keine gültigen Anmeldeinformationen haben sollte. Wenn ein Bot gültige Anmeldeinformationen erraten kann, müssen Sie die Kennwortstärke erhöhen.

Die Benutzer hassen es jetzt. Einige haben es nicht einmal verstanden und ich musste es entfernen.

Hier müssen Sie die Entscheidung zwischen Benutzerfreundlichkeit und treffen Sicherheit. Obwohl es nützlich ist, ein Captcha auf Ihren Anmeldeseiten zu haben, ist es unglaublich benutzerunfreundlich.

Mein bester Tipp wäre, jeden ungültigen Anmeldeversuch in einer Datenbank zu protokollieren und vor der Authentifizierung des Benutzers zu überprüfen, ob diese IP-Adresse vorhanden ist Ich habe versucht, mich innerhalb der letzten Stunde X-mal anzumelden.

Sie können jeder Anmeldeseite auch eine Art Cross Site Request Forgery-System hinzufügen. Dies bedeutet, dass bei jedem Anmeldeversuch ein verstecktes Feld mit einem Token generiert wird, was bedeutet, dass ein Angreifer zwei Anforderungen stellen müsste, um sich anzumelden.

Das Hinzufügen eines Captcha oder ReCaptcha ist keine Lösung, sondern lediglich ein Hindernis für Hacker und Benutzer.

Ich habe mit meiner Brille eine sehr gute Sicht und kann den Bildtext manchmal kaum erkennen. Ich würde mir vorstellen, dass jemand, der seine Vision leugnet, wütend wird.

Alles, was Sie implementieren, muss einen bestimmten Zweck haben, sonst werfen Sie einfach Kuchen mit Kotfüllung in den Himmel und diese Kuchen schließlich landen Sie direkt auf Ihren Benutzern.

Hier einige Denkanstöße:

1

Problem

Benutzerkonten werden aufgrund automatisierter Brute-Force-Versuche gehackt.

Lösung

Konten werden jetzt nach 3 fehlgeschlagenen Anmeldungen gesperrt.

2

Problem

Alle Benutzerkonten wurden aufgedeckt, und ein Bot versucht nun, alle Konten brutal zu erzwingen

Alle Konten werden aufgrund von 3 fehlgeschlagenen Anmeldungen innerhalb von Sekunden gesperrt.

Lösungen? Reichlich, aber mussten wir überhaupt zu diesem Schritt gelangen? Ist dies derzeit ein Problem?

Eine andere Möglichkeit, dies anzugreifen, könnte darin bestehen, einen "Honeypot" zu installieren. Dies ist ein gewöhnliches Eingabefeld, das zusammen mit den Anmeldefeldern (Benutzername, Kennwort) im HTML-Code enthalten ist. Dieses zusätzliche Feld wird jedoch mithilfe von CSS ausgeblendet.

In der Regel versuchen Bots, Text in alle Felder einzugeben Felder im HTML angezeigt, also habe ich in PHP überprüft, ob das Honeypot-Feld nicht leer ist - ich würde diese IP verbieten.

(Dies war für eine Homepage eines Fallschirmspringerclubs mit einer winzigen Administratorfunktion zum Aktualisieren Daten, an denen wir springen werden usw. Ich würde dies nicht für sensible Anwendungen empfehlen)

CAPTCHA-Systeme dienen dazu, zwischen automatisierten Bots und echten Benutzern zu unterscheiden. Wie Sie bereits bemerkt haben, sind sie leider nicht sehr praktisch (insbesondere für behinderte Benutzer).

Ob es "eine gute Idee" ist oder nicht, hängt wirklich von Ihrem Anwendungsfall ab, obwohl sie es nicht sind. t sehr effizient bei Benutzeranmeldungen: Sie sind nicht sehr nützlich, um Angriffe zum Erraten von Kennwörtern zu verhindern, und die Implementierung eines Ratenbegrenzers in der Anwendung ist für den Benutzer bequemer, während die Implementierung einer TOTP -PIN eine bessere Sicherheit bietet.

Es ist möglicherweise immer noch eine gute Idee, von Ihrem Client einen "Arbeitsnachweis" zu erhalten, wenn Sie Serverressourcen für ihn ausgeben und wenn diese Ressourcen begrenzt sind. Ein typischer Anwendungsfall für eine solche Abfrage ist ein System, das Arbeiten für anonyme Benutzer ausführt (z. B. könnte eine webbasierte WHOIS-Anwendung dies verwenden, um Ressourcen zu schonen).

Denken Sie einen Moment darüber nach, was Ihr Captcha erreichen will. Hier ist das Ziel, an das ich denken kann:

• Verhindern Sie, dass ein groß angelegter automatisierter Angriff in schwache Konten eindringt.

Hier ist eine Möglichkeit, das zu tun, was will Machen Sie Ihre Benutzer wahrscheinlich glücklicher:

• Wenn sich ein Computer erfolgreich anmeldet (als Bob), setzen Sie ein Cookie auf diesem Computer, damit der Server weiß, dass der Computer 5 kostenlose Versuche erhält, sich bei Bob anzumelden Konto, ohne die Capcha zu benötigen.

• Wenn der Computer, der versucht, sich anzumelden, von Bobs letzter bekannter IP stammt, geben Sie dieser IP 5 kostenlose Versuche, sich bei Bob anzumelden, ohne die Capcha zu benötigen.

Die Idee hier ist, dass das Erraten von Massenkennwörtern normalerweise von Computern oder IPs erfolgt, die sich nicht legitimerweise im Konto angemeldet haben.

Dies kann wahrscheinlich verbessert werden indem Sie es mit Ideen aus anderen Antworten kombinieren, bei denen Sie Konten oder ips ein paar "kostenlose Versuche" geben.

Das Hinzufügen eines Captchas nach 10 oder 100 fehlgeschlagenen Versuchen ist nutzlos, da die meisten aktuellen Bots über ein DeathbyCaptcha-Konto verfügen und die API für dbc sehr einfach zu verwenden ist. Ich denke, es ist eine gute Sache, jedes zweite Mal ein Captcha zu zeigen.

Um Brute-Force-Angriffe zu verhindern, sollten Sie Folgendes tun.

1) Stellen Sie sicher, dass die Kennwörter komplex genug sind. Wenn die Möglichkeit besteht, verwenden viele Benutzer extrem einfache Passwörter wie ihren Namen usw. Passwörter sollten mindestens 8 Zeichen lang sein und Zahlen, Buchstaben und Groß- und Kleinschreibung enthalten.

2) Aussperrung IPs nach 5 fehlgeschlagenen Anmeldeversuchen.

Es kann sinnvoll sein, dem Bildschirm zur Kennwortwiederherstellung ein Captcha-Feld hinzuzufügen. Stellen Sie sicher, dass Sie genügend Text einfügen, um den Benutzern die Funktionsweise zu erklären.