Thema: Reaktion auf wiederholt fehlgeschlagene Anmeldeversuche

Ich habe mir grade diesen Artikel durchgelesen. Darin geht es um den letzten Twitter-Hack und die Lehren daraus. Der folgende Absatz ist ein Ausschnitt aus dem obigen Artikel.

Doch auch einfache Passwörter können ausreichend schützen, wenn der Angreifer nicht auf einfachem Weg sehr viele davon durchprobieren kann. Die EC-Karten-PIN etwa besteht nur aus vier Ziffern und gilt trotzdem als ausreichend sicher, weil die Karte nach drei Fehlversuchen eingezogen wird. Das grundsätzliche Problem war folglich eher, dass in den Login-Vorgang bei Twitter keinerlei Mechanismus eingebaut war, der auf wiederholt fehlgeschlagene Anmeldeversuche reagiert. So konnte das Skript sehr schnell und vor allem unbemerkt große Mengen an Passwörtern durchprobieren.

Für den 1.5er Zweig von Joomla ist es sicher zu spät. Aber weiß jemand, ob eine derartige Lösung für die kommende 1.6er Version von Joomla (zusätzlich zum Salt) angedacht ist?

Hi,

naja ich könnte mir gut vorstellen, das man das relativ leicht mit einem Plugin hinbekommt....

Gruß Dennis

Hallo FreakyF,

ich arbeite bereits an solch einem Plugin / Component bundle.

Gruß Dennis

Zitat von blackice2999

Hallo FreakyF,

ich arbeite bereits an solch einem Plugin / Component bundle.

Gruß Dennis

Dann bin ich mal gespannt und freu mich schon, wenn das Plugin / Component bundle herauskommt.
Wie kann ich am besten davon erfahren?

Ich gebe hier im Thread bescheid.

Gruß Dennis

Zitat von blackice2999

Ich gebe hier im Thread bescheid.

Gruß Dennis

Perfekt, dank dir

In einem Artikel in einer PC-Spezial-Zeitschrift zum Thema Joomla wurde vor einiger Zeit empfohlen, den administrator-Ordner zusätzlich per htaccess mit Passwort zu schützen. Ist zwar manchmal etwas lästig, zweimal Zugangsdaten einzugeben, bevor man arbeiten kann, aber die (gefühlte ) Sicherheit ist es mir Wert.
Nun stellt sich mir die Frage, kann man auch darüber eine Beschränkung der Anmeldeversuche erreichen?

----- Gruß, Myrtus -----
www.myrtus-communis.de

Die Antwort auf Deine Frage hast Du eigentlich schon selbst gegeben: Da Du zwei verschiedene "Anmeldesysteme" hast (login von Joomla, htaccess-Schutz von Verzeichnissen) ist klar, dass der Verzeichnisschutz nicht darüber wachen kann, wie oft sich Jemand bei Joomla einloggen will/darf. Außer, es wird ganz unterbunden, wie es beim Backend der Fall ist, wenn man einen solchen Schutz einrichtet. Für das Frontendlogin wird daher solch ein Schutz bedeuten, entweder kein Zugriff oder unbegrenzt.