PHP Login und Captcha

[Hattrix]

Hallo,

und zwar stell ich mir die Frage, ob nach einem Login (Eingabe von Loginname und Passwort) dann sozusagen im Account für eine Ausführung einer Aktion ein Captcha gegen Bots sinn macht.

Was meint ihr?

 

[XunnD]

Kommt ganz auf Deine Dienste an und wie kritisch einzelne Bereiche sind.

Denkbar wäre, die Hits einer IP H(IP) zu tracken und dann bei zuvielen Hits über eine Zeit T ein Captcha-Lösung zu fordern - selbst bei angemeldeten Benutzern.

StudiVZ beispielsweise besitzt gegen das Auslesen ihrer DB via Suche/Supersuche ein ähnliches Konzept.

 

[Ja Unknown]

Hey,

meiner Meinung nach ja - allerdings nur bei sicherheitsrelevanten Aktionen wie zB. Passwörter ändern, etc. Es kann auf jeden Fall nicht schaden bei solchen Sachen eine zusätzliche Sicherheitsmaßnahme zu implementieren. Situation: aus irgendeinem Grund gelangt ein Bot in ein Account (seien es unsichere Passwörter, Sicherheitsmängel im Code, was auch immer) und er kann immer noch nicht das Passwort ändern. Kommt wie gesagt immer auf den Zweck der Anwendung an. Das StudiVZ Konzept gefällt mir hier auch ganz gut.

 

[Hattrix]

Hallo,

bei mir handelt es sich um ein Ausführen eines Features im Online-Spiel, dass sich dann um eine gewisse Zahl erhöht.
Macht das hierbei Sinn?

 

[XunnD]

Hallo,

bei mir handelt es sich um ein Ausführen eines Features im Online-Spiel, dass sich dann um eine gewisse Zahl erhöht.
Macht das hierbei Sinn?

Ja, dann besonders, um Farming gleich vorneweg einzudämmen!

 

[Hattrix]

Ich habe mich gerade bei wikipedia über "Pharming" belesen und konnte zu dem Online-Spiel keine Gefahr entdecken.

Wenn ein User sich einloggt und dann mit einem Captcha ein Feature nutzt, wo besteht die Gefahr von Pharming?

 

[XunnD]

Dann würde ich bei den richtigen Begriffen nachschlagen - zum Beispiel bei 'Farming' - so wie ich es geschrieben habe - und nicht 'Pharming' - wie Du meintest es schreiben zu müssen.

Es geht darum, dass sich ein Benutzer nur einloggen muss und der Rest von einem Bot erledigt werden kann. Mit einem Captcha schiebst Du solchen Methoden systematisch den Riegel vor.

 

[Hattrix]

Sorry. Ich hatte nach Farming gegoogelt und was nur im entferntesten mit Internet zutun hatte, kam auf der ersten Seite Pharming.

 

[[funcoder]]

Ich würde es evtl so Lösung das nicht jeder generell ein Captcha zu sehen bekommt, was letzendlich auf dauer nervt. Sondern wenn diese Tätigkeit eine bestimmte Anzahl nacheinander erfolgt ist. (z.B. 1 Stunde > 10Mal). Das dann eben ein möglichst schwer knachbares Captcha eingeblendet wird.
Dadurch werden die "echten" Menschen nicht mit frustrierenden Captchas belästigt und sofern Bots eingesetzt werden ist der dadurch verursachte (Spiel)-Schaden möglichst gering.

 

[XunnD]

Ja funcoder - natürlich sollte nicht jeder Submit mit einem Captcha abgesichert werden, sonst leidet klar die Usability.

 

[fz21z]

mach doch log datei mit ip und login versuchen, bei 3 feherhaften sperrst du die ip einfach oder macht 5min delay, somit verlängerst du bruteforce rein theo. richtung unendlich

 

[XunnD]

Genau soetwas würde gegen einen Bot, der die Zugangsdaten besitzt, genau gar nichts nützen.

 

[Hattrix]

@funcoder:
Die Tätigkeit kann man nur einmal ausführen und dann erst wieder nach einer bestimmten Zeit.