Minimális időlimit form küldésnél
Sziasztok!
Használható elgondolás szerintetek robotok elleni védekezésként, hogy sessionben tárolom a form betöltésének idejét, majd ezt összevetem az elküldés idejével és ebből következtetek? (mivel pl nem életszerű, hogy 3 mp alatt tölti ki valaki a regisztrációs űrlapot)
■ Használható elgondolás szerintetek robotok elleni védekezésként, hogy sessionben tárolom a form betöltésének idejét, majd ezt összevetem az elküldés idejével és ebből következtetek? (mivel pl nem életszerű, hogy 3 mp alatt tölti ki valaki a regisztrációs űrlapot)
captcha
szerintem is
Ha nem akarsz captcházni akkor szerintem jó megoldás.
************************
A te elgondolásod szerintem - de akik régebben a szakmában vannak majd kijavítanak - azért "életképtelen", mivel a session azonosítót sütiben tárolják, sütit pedig bármikor törölhet a felhasználó/bot.
Tehát kitölti a lapot, törli a sütiket -> kap új sessiont, újra kitölti.
Pár botot lehet, hogy megfogsz vele, de nem nagy dolog egy (egyszerűbb) captcha megírása/beüzemelése. :)
Ezt az ellenőrzést nem látja
Viszont szerintem ez nem elsődleges támadási felület, így inkább keresnék olyan biztonsági réseket, amelyek *tényleg* veszélyesek.
Ezzel vannak usability issue-k, de…
- az űrlapban van egy mező, amit elég jó eséllyel kitöltenek a botok (URL), viszont elrejtettem (horrible dictu: JavaScripttel. Jó eséllyel CSS-sel is működne). A formnál azt ellenőrzöm, hogy ki van-e töltve az a mező, amit csak a botok látnak :-)
- minden üzeneten végigfuttatok egy függvényt, ami ad neki egy pontszámot. Ha túllép egy értéket, spamnek minősítem. Ezt a függvényt minden alkalommal frissítem, hó egy spam átjut a szűrőn.
… Az előbbi nem felhasználóbarát, az utóbbi nem skálázható. De egy kis forgalmú vendégkönyvnél működik…
Biztonság
Időkorlátra inkább a login-nál van szükség, hogy ne lehessen pl. 3-nál többet próbálkozni 5 perc alatt. Ezt úgy tudod begoldani, hogy egy külön táblába vezeted az összes sikeres és sikertelen próbálkozást, IP-vel és felhasználónévvel együtt. Ebből jó statisztikát is csinálhatsz, csak ne felejtsd el néha kitörölni a régi rekordokat.