[php] Bruto Force vs login

[Marc Ende]

Hi Norbert,

> es ist ja kein Problem eine Eingabe mit JS zu testen ob da
> gemischte Gross-/Kleinschreibung, Zahlen und Sonderzeichen
> verwendet wurden und den User dann zu informieren.
> ABER:
> - JS ist ja von zu Hause aus boese und somit abgestellt
>   - nicht beim normalen User aber den ML-Mitgliedern

Nun, das mag ja sein, aber trotzdem sollte man so sicherheitsrelevante
Punkte, wie die Zusammensetzung des Passwords nicht auf den Client
verschieben. Da kann man vielleicht eine überprüfung mittels JS
machen, die es dem User/Kunden erspart nochmal die Seite zu laden.
(JS ist meines erachtens der erste wirklich gelungene objektorientierte
Bug den es bislang gab.... :) )

> - Sonderzeichen wie @.,:;&$§µ werden von vielen Host
>   schon gar nicht mehr akzeptiert, es duerfen nur noch
>   a-z,A-Z,0-9 sein.

Ja klar, ist doch logisch... Die haben den einfachsten und
effektivsten Weg gewählt sql-injection zu vermeiden.
a-zA-Z0-9 ist doch noch ne ganz ordentliche auswahl an Zeichen, im
gegensatz zu dem was die leute sonst als kennwort verwenden.
(kleinbuchstaben vorname des kindes z.B.)

> Den Trend habe ich auch nicht verstanden ...

...

Gruß

marc



-- 
Mit freundlichen Grüßen
Marc Ende
mailto:me at e-beyond.de