|
password_protected.jpg
(son of a ...) RP (23.2.2024 21:07)
|
misil: Jojo  |
|
|
password_protected.jpg
(jeffer) (22.2.2024 18:19)
|
|
flok: To je kravina, pre && sa musí otestovať oboje na True. Skrátene to vyhodnotí len False keď už prvá hodnota je False. Pre || by to vyhodilo True už po prvom True. |
|
|
password_protected.jpg
(Chicken Nugget) (22.2.2024 8:48)
|
|
co je to kurde za jazyk ? |
|
|
password_protected.jpg
(flok) RP (22.2.2024 7:50)
|
|
Donevetr: To samozrejme. O tom ten obrazek je. Aby to fungovalo v jazyku, ktery ma short cicuit evaluation, musely by ty fce v podmince prehozeny. |
|
|
password_protected.jpg
(donevetr) RP (22.2.2024 7:40)
|
|
Jenže ona to prostě je blbost. Jo, možná kdyby tam místo isFirstLoginAttempt bylo isFirstSuccessfulAttempt, tak by to byl nějaký základ - a mohli byste řešit ty ostatní blbosti, co tu řešíte. Takhle to naštve uživatele a na brute force to má minimální vliv. |
|
|
password_protected.jpg
(flok) RP (22.2.2024 4:51)
|
|
Abyste mohli rozhodnout, jestli se o pokus nepokousi poprve, musi se nekde uchovavat stav s poctem pokusu. V bezstavovem protokolu jako je HTTP, se toho muze docilit treba pres Session, ale session se s klientem paruje pomoci nejakeho klice. Takze pokud si klient pokazde zazada o novy klic, muze si brutefocovat jak chce a dokonce to muze zahltit Session Storege na serveru, takze z BF vzikne razem DDoS. |
|
|
password_protected.jpg
(misil) RP (22.2.2024 2:05)
|
|
tohle ma hardwarove implementovane USB-A |
|
|
password_protected.jpg
(tdc_unreg) (22.2.2024 1:14)
|
|
Kdysi velmi davno jsme pouzivali podobne jednoduchej trik - nazev pole s heslem se odvozoval ze session id a casu vygenerovani stranky. Kdyz to nekdo zkousel bez spravne session, nemel validni formular a pokud by mel a odeslal moc rychle, tak to hlasilo taky spatne heslo. Prubezna analyza logu ukazala, ze ta casova hranice mozna ani nebyla potreba - pokus o spravne vedeny bruteforce jsme zaznamenali jen jeden a toho po 20 pokusech zarizlo IDSko. |
|
|
password_protected.jpg
(Predpo) (21.2.2024 23:20)
|
|
Na podobné téma byla kdysi v devadesátkách povídka v Ikarii. Kterak borcovi i otisky okopčili a nakonec to prosrali na tom, že první login měl být se špatným heslem a oni to dali napoprvé. To nasere. Ale to neřeší brute force. |
|
|
password_protected.jpg
(prazsky chytrak) RP (21.2.2024 22:31)
|
|
Modusi, tohle je tzv. pseudokod ([odkaz] to samo o sobe nefunguje. Ale kdyz to spravne prepises do nejakeho jazyka a pouzijes na spravnem miste v aplikaci, fungovat to bude. |
|
|
password_protected.jpg
(Modus) RP (21.2.2024 21:55)
|
|
a funguje to vůbec? Má to někdo čeknuté? |
|
|
password_protected.jpg
(miko) RP (21.2.2024 21:50)
|
|
security by obscurity
|
|
|
password_protected.jpg
(S) (21.2.2024 21:45)
|
|
Donevetr: Brute force jede heslo za heslem. Neni čas zkoušet 2x. Uživatel na druhou stranu správné heslo zkusí napsat min. 1 znovu to stejné. Za mne +1, jen jde zase bezpečnost proti uživatelskému komfortu. |
|
|
password_protected.jpg
(prazsky chytrak) RP (21.2.2024 21:36)
|
|
Jako ten kod smysl dava, az me mrzi, ze me to nenapadlo. Docela by me zajimalo, jestli s tim nejakej BF pocita a zkousi vickrat. |
|
|
password_protected.jpg
(Merlin) RP (21.2.2024 21:25)
|
|
@donevetr: Mě to smysl dává. Tedy, nejsem programátor a syntaxe je pro mě španělská vesnice, ale myšlenka je jasná. |
|
