RainFall Apr 13 2011 at 12:07

Отключение капчи на хабре

1 min

621

Habr

+88

Comments 30

Mithgol Apr 13 2011 at 12:10

Чёрт знает что. А если теперь пароли станут подбирать перебором?

Maldor Apr 13 2011 at 12:14

Используйте сложные пароли. Лично я рад подобным изменениям.

Mithgol Apr 13 2011 at 13:16

Я-то использую сложные. Но не за себя тревожусь. Как бы не оказаться в окружении зомбей со взломанными и похищенными личностями.

Kicker Apr 13 2011 at 14:12

[оффтоп]
да, я себе так и представляю Ваш пароль (: — ѧѯѱѳѵѭMithgol_1978_ѣ
[/оффтоп]

DaFive Apr 15 2011 at 17:50

Части пароля не хватает:

DaFive Apr 15 2011 at 17:50

ужé

tangro Apr 14 2011 at 18:26

>оказаться в окружении зомбей со взломанными и похищенными личностями
Вам бы сценарии к фильмам ужасов писать.

RainFall Apr 13 2011 at 12:15

Капчу показывают сразу после первой попытки ввода неправильного пароля.

bondbig Apr 13 2011 at 12:18

Вот это правильно. Я в большинстве случаев с первой попытки ввожу верно, зачем меня все эти годы заставляли вводить для этого капчу — непонятно. Вторая попытка — будьте добры, докажите человечность, презумция невиновности в действии.

RainFall Apr 13 2011 at 12:22

Я, к примеру, как раз капчу с первого раза далеко не всегда вводил, а пароль правильно!

Не помню, какая фраза показывается при неправильном пароле, а вот «Неверный код защиты» отчетливо отпечаталась в голове.

jeje Apr 13 2011 at 12:16

Бха, а для этого ведется мониторинг (не человеком) и блокируется на несколько минут, если переизбыток активности. Тоже мне нашли проблему

MiXei4 Apr 13 2011 at 12:26

А если через кучу разных проксей перебирать?

jeje Apr 13 2011 at 12:27

А какая разница? Неудачные попытки считаются относительно пользователя, а не источника входа.

eli314 Apr 13 2011 at 12:32

А если по списку пользователей через прокси? ;)

jeje Apr 13 2011 at 12:33

В таком случае даже google analytics вам подскажет, что login page пользуется крайне большой популярностью ;)

olololog Apr 13 2011 at 17:29

Выход один — блокировать страницу логина =)

MiXei4 Apr 13 2011 at 12:32

Ну тогда можно подбирать и пароль и пользователя одновременно.

А если я запущу перебор пароля некоего пользователя, то он сам не сможет залогиниться?

Mithgol Apr 13 2011 at 13:19

Именно так.

Так что если кому не нравится один из пользователей Хабрахабра, или даже целый десяток, то с сегодняшнего дня появилась простая бесхитростная возможность навсегда их отключить. Достаточно нехитрый скрипт зациклить.

Mithgol Apr 13 2011 at 13:22

Правда, я надеюсь, что создателям Хабрахабра всё же хватило ума не включать задержку повторного логина после ошибочного, так что нехитрый скрипт не сработает как способ готовой атаки на пользователя.

burdakovd Apr 13 2011 at 14:45

Просто включится капча. Аккаунт не блокируется, и пользователь сможет залогиниться. Максимальный дос, которого можно добиться брутом — это чтобы пользователь был вынужден вводить капчу при каждом входе.

Вот только неясно, что делать если производят брут, меняя при каждой попытке логин, пароль и прокси…

burdakovd Apr 13 2011 at 14:47

Хотя можно ещё показывать капчу при попытке входа с ip, с которого раньше не было успешных попыток входа — это защитит от мультиаккаунтного брута.

Но это не одобрят пользователи с динамическим ip.

UFO landed and left these words here

Boomburum Apr 13 2011 at 13:01

Решили инвайт по-легкому срубить? :)

denver Apr 13 2011 at 13:13

Думаю, сказать спасибо за возможность наконец авто-влогиниваться.

RainFall Apr 13 2011 at 13:16

Спасибо, что хоть на «Вы». Извините за короткий топик, люблю лаконичность.

Интересный факт — недавно, когда инвайт был очень нужен, он нашелся в «непринятых». Человек не подтверждал около года. На тот email его уже видимо выслали.

Boomburum Apr 13 2011 at 13:30

Я не в упрек по поводу «короткий топик» — просто отключения капчи действительно многие ждали и повод для поста хороший. Но мы вчера умышленно не стали анонсировать его публично, чтобы лишний раз не привлекать внимания брутфорсеров.

spmbt Apr 13 2011 at 13:25

Кто теперь ответит за годы введения капч?

jabbarow Apr 13 2011 at 16:57

Мне не очень то и сложно было вводить капчу

kuyantus Apr 13 2011 at 21:48

Хех, я вчера когда логинился, испугался, нет капчи, подумал редирект какой произошёл, что попал на фишинговый сайт %) Несколько раз перечитал адрес в строке браузера.

ZoomLS Apr 13 2011 at 23:48

Наконец-то! Они дали нам 1 попытку!