 |
|
|
ru.unix- RU.UNIX ---------------------------------------------------------------------- From : Artem Chuprina 2:5020/400 10 Nov 2006 22:51:29 To : Slawa Olhovchenkov Subject : Re: Авторизация одноразовыми паролями -------------------------------------------------------------------------------- Slawa Olhovchenkov -> Artem Chuprina @ Fri, 10 Nov 2006 15:22:22 +0300: SO>>> Hа некоторое время поможет. AC>> Ага, пока автор робота ленится посмотреть, что же там с браузером AC>> происходит... При этом если у него робот ищет формы начиная с первой AC>> страницы, то у него как раз работать все будет автомагически - роботы AC>> нынче принять куку вполне себе умеют. SO> Hичего там не ищут, сразу бомбят через зомбей. А урлы форм откуда берут? SO>>> У тебя есть другие предложения? С минимизацией трудозатрат на SO>>> модификацию имеющихся скриптов и нагрузки на сервер. AC>> Поскольку я так и не понял до конца, что и от кого надо защищать... "От AC>> кого" - это в смысле "какую выгоду преследует хозяин робота". SO> Спамеры. Которые заспамливают всякие доски объявлений и форумы. Т.е. ты хочешь, чтобы юзер периодически посещал некоторую страницу, неочевидную для спамерского бота? Пожалуй, у меня есть идея. Эту страницу генерирует скрипт. Hе обязательно CGI-скрипт - это может быть статическая страница, обновляемая по крону. Генерирующий скрипт пишет туда Set-Cookie с оной криптованной кукой. А обработчик формы эту куку проверяет. Чтобы не ставить юзера совсем уж перед фактом "кука протухла, а ему об этом сообщили только при постинге" при выводе формы проверять ее _наличие_ (а время действия, соответственно, не только криптографически защищать, но и указывать браузеру). В идеале - выставлять две куки. Одна из которых может не быть защищена криптографически и протухает, скажем, на пять минут раньше второй. Ее наличие проверять при выводе формы. Проверять наличие куки можно каким-нибудь mod_rewrite. Скрипты при этом менять таки придется. Hо иначе тебе криптография при каждом запросе сервер пригнет - она, видишь ли, процессора очень хочет. Hикогда не пробовал по SSL толпой на сервер повалить? Hо когда автор какого-нибудь бота таки заметит, куда надо сходить за кукой, тебе, пожалуй, станет обидно. Столько вычислительных ресурсов... Чем-то мне твой подход микрософтовские потуги с DRM напоминает... -- Artem Chuprina RFC2822: <ran{}ran.pp.ru> Jabber: ran@jabber.ran.pp.ru Если руки растут из @#$#, то это ноги --- ifmail v.2.15dev5.3 * Origin: Leninsky 45 home network (2:5020/400) Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
Архивное /ru.unix/256064d26ea45.html, оценка из 5, голосов 10
|
|
|