Captcha и юзабилити

[@Mithgol]

Есть глубокий смысл в том, чтобы неоднократно требовать капчу при попытках ввода пароля, так как иначе робот сможет быстро-быстро подобрать пароль.

Скажем, если спрашивать только первый раз, то достаточно будет злоумышленнику один раз указать капчу, а затем оставить за себя робота подбирать пароль.

[@Enlightened]

Так в чем проблема отлавливать попытки брутфорса и начинатьп оказывать капчу после 3-4 неправильной попытки.

Я почему-то уверен, что робот с 3 попыток не угадает пароль lksjdh14%^

[@NemeZZiZZ]

Нередко встречаю обратную реализацию: ввёл пароль 2-3 раза неверно — вводи капчу. Вводить капчу для логина сразу — имхо не блещет рациональностью.

[@Enlightened]

И это правильный подход, по-моему.

[@Mithgol]

Прозреваю, что тогда робот будет три раза пытаться, затем стирать cookies и вдругорядь пытаться. Небезопасно!

[@Enlightened]

Он будет стирать cookies и смотреть на капчу. Потому что первый раз капча таки показывается. И перестает показываться только после правильного набора на время жизни сесси или до подозрительного поеведения (попытка брутфорса пароля, например).

[@Enlightened]

А вообще, чуть выше предложили идеальный вариант. Не показывать сразу капчу. Неправильно ввел пароль пару раз — вводи капчу.

[@Ag47]

на это и ответил Mithgol:
«Прозреваю, что тогда робот будет три раза пытаться, затем стирать cookies и вдругорядь пытаться. Небезопасно!»

[@Santehnik]

Можно хранить в той-же $_SESSION количество неверных попыток логина, основываясь на которых и отображать капчу.

[@nekt]

учи матчасть.

[@nekt]

$_SESSION — это те-же куки.

[@DeadLy]

Сначала вы выучите её

[@nekt]

Можно поподробней? В чем я неправ?

[@DeadLy]

в том что сессии и куки это не одно и тоже. куки хранятся на стороне клиента, сессии на сервере. вот и всё впринципе.

[@finn]

А как сервер сопоставляет сессию с клиентом просвятите пожалуйста.

[@DeadLy]

либо через куку, либо через PHPSESSID. Не обязательно включать куки чтобы сессии заработали.

может вы мануал прочитаете? phpfaq.ru/sessions

[@finn]

В принципе вы могли не привязыватся конкретно к PHP, в ASP.NET тоже самое, либо кука, либо урл и в JAVA я думаю также. А суть тут в том, что этот самый Id находится в юрисдикции клиента, т.е. в данном случае бота — убил Id значит убил сессию.

[@DeadLy]

убил куку — убил код капчи — значит вводить её заново — применительно к статье

[@DeadLy]

извиняюсь, не к статье, а к коментарию enlightened.habrahabr.ru/blog/64291/?reply_to=1792385#comment_1788351

[@DeadLy]

не к тому комментарию, а к этому enlightened.habrahabr.ru/blog/64291/#comment_1788463

PS. Это всё ЖАРА ))

[@finn]

Как я понял ветка началась с сообщения: «А вообще, чуть выше предложили идеальный вариант. Не показывать сразу капчу. Неправильно ввел пароль пару раз — вводи капчу.»

[@DeadLy]

не, ещё одну ступеньку выше )))

[@DeadLy]

В принципе вы могли не привязыватся конкретно к PHP, в ASP.NET

Ну да ))) что-то не подумал что тут впринципе про метод, не привязываясь к языку ))

[@nekt]

попытки входа можно хранить не только в куках.

Если их хранить в базе — настоящему владельцу при попытке взлома придется вводить капчу. Или обнулять их через некоторое время. Тогда владелец возможно даже ничего не заметит.

[@finn]

Но тогда всё равно останется возможность подбирать не пароль к логину, а логин к паролю.

[@flaresun]

> я уже доказал, что я не робот. Зачем мне снова это доказывать?
> Единственное мною пока встреченное исключение — торрент-трекер mininova.org.

Вот тут тоже не надо каждый раз вводить капчу заново.

[@ChemAli]

Еще одно исключение — модуль Captcha для CMF Drupal. Там подобное поведение настраивается.