登录和蛮力：CAPTCHA-vs-睡眠（1）

有什么更好的使用反对暴力方法（当3 +不成功的试验登录在最后让我们说5分钟），为什么 - 显示CAPTHA或使用睡眠让我们说1秒）？登录和蛮力：CAPTCHA-vs-睡眠（1）

谢谢。

2011-11-29 Haradzieniec

这可能是http://s.tk/security更好的问题。 –

这个问题没有意义。怎么样？给谁？在什么条件下？这是网络吗？验证码可以在1秒内暴力破解吗？客户是真正被锁定的，还是只是一个连接被冻结？ –

我不明白为什么我得到-1这个问题。我相信我已经清楚地描述了这种情况：当用户进行3次不成功的试验登录会员区时，最好使用用户。是的，这是针对网络的。 GOOGLE CAPTHA能否在1秒内暴力破解？我相信答案是否定的，不是。或者，他们会让它变得更强大。如果你更清楚，如果你分享你的想法回答这个问题，我将不胜感激。我无法验证这是否可能。 – Haradzieniec

在我看来，一个好的验证码可能比一秒延迟更好。但它必须是好 CAPTCHA（意味着很难用一台机器解决，但仍然很容易让人解决）。即使另一端的计算机可以解决您的验证码，但除非攻击者拥有可支配的计算能力，否则很可能需要一秒多的时间才能解决高质量的验证码。

也就是说，您可能希望平衡这种情况与CAPTCHA倾向于在用户中引发的烦恼。当然，这些用户是三次输错密码或忘记密码的用户，希望这是少数用户（尽管毫无疑问，这会发生得比您想的要多）。

此外，如果你做指数（或任何正确的数学术语）延迟，事情可能会改变。所以，第一次延迟是1秒，第二次是2秒，第三次是4秒，接下来是8秒，等等。这比仅使用1秒延迟更有效。

而且，当然，没有理由不能同时使用CAPTCHA和延迟，如果您担心暴力强制，我会推荐这样做。

来源

2011-11-29 03:54:13 Trott

非常感谢您的回答。你能否确认（我希望这不是另一个问题），当使用睡眠时，服务器不会挂起（所以睡眠方法也可以解决这个问题）。 1,2,4,8秒（x2）或x1.15 f.e.是个好主意。谢谢你的回答。我的问题已收到-1，但非常感谢您的回答。 – Haradzieniec

登录和蛮力：CAPTCHA-vs-睡眠（1）

回答

相关问题