kann man cookies editieren?

[Philipp Hasenfratz]

Halihallo Chris

und um es dann auch wirklich "sicherer" zu machen und durch den zweiten nicht einfach nur den ersten Schlüssel zu verlängern, sollte man Fehlversuche auch registrieren und darauf reagieren. Das geht eben nur mit einem Zweischlüssel-Verfahren.

Was'n ein Zweischlüssel-Verfahren???

Man könnte feststellen, dass eine gültige Session mit einem ungültigen PIN behackt wird, und die Anzahl der Hackversuche als Inkrement der Antwortfunktion verwenden. Dann verlängert sich die Antwortzeit pro Hackversuch z.B. um eine Sekunde. Wenn dann der richtige Schlüssel verwendet wird, gibt es eine Warnung für den User. Der Hackzähler kann dann über einen anderen Weg oder über manuellen Service zurückgesetzt werden.

... oder beim erfolgreichen Login wieder zurückgesetzt werden (was besser wäre).
So macht das GMX, wenn ich nicht irre.

Dieses Szenario macht jedoch nur bei Hochleistungszentren mit Load-Balancing-Systemen
und sonstigem Schnick-Schnack wie Glasfaseranbindung zum nächsten Backbone Sinn,
denn: für eine Bruteforce-Attacke und diese versuchst du mit deinem System abzuwehren,
braucht es eine gigantische Anbindung um überhaupt effektiv zu sein... Hast du schonmal
versucht einen 128-bit Schlüssel mit 11Mbit Anbindung über HTTP zu knacken??? -
Good luck and wait forever.
Glaube mir: Das heuert man doch lieber einen Cracker an, der sich über andere Techniken
in den Server hackt. Deine Vorkehrungsmassnahme ist IMHO nur Zeitverschwendung auf deiner
Seite. Trotzdem, deine Vorgehensweise ist lobenswert. Und das mit der Warnung ausgeben
halte ich für sehr sinnvoll.

Bei verbindungslosen Protokollen ist die Zeit (bzw. totale Deaktivierung des Accounts) Dein einziger Freund, um "Sicherheit" herzustellen.

Das hat nichts mit verbindungslos zu tun. Selbes Prozedere wäre bei verbindungs-
etablierenden Services möglich.

Viele Grüsse

Philipp