Bezpečnost bez captchy

fruity:
Můžeš použít něco, co je i tady na diskusi.. Do formuláře přidáš input s nějakým příkladem (např. 4+9), pak pomocí javascriptu input skryješ a vyplníš mu hodnotu (tj. 13).. Roboti javascript „neumí“, tudíž budou muset input něčím vyplnit, uživatelům se zapnutým JS se input vůbec nezobrazí a uživatelé co JS mají vypnutý určitě input správně vyplnit zvládnou..

fruity:
Špatné řešení by to být nemuselo, ovšem povede se mu odeslat jeden příspěvek, bude odesílat dál, a za chvilku další, takhle když bude odesílat 10 požadavků za sekundu třeba minutu, tak se na tvůj web dostane 15 příspěvků od robota..

fruity:
„To by musel čekat 4 vteřiny na další odeslání, ale to je už cílený útok.“
Časové oneskorenie odoslania je jednoducho naprogramovateľný úkon, možno ho niektoré roboty robia.
Môžeš tým obmedziť aj niektorých normálnych návštevníkov - ak si napríklad text na odoslanie píšu inde ako vo formulári na odoslanie.

fruity:
„tak už se dá předpokládat, že uživatel spamuje.“
Ale ten predpoklad môže byť mylný - ak si napríklad len text formátuje v nejakom svojom obľúbenom editore.

„ale to potom znamená, že antispam, který se používá tady taky stoji za ...“
Slúži veľmi dobre na to, na čo slúžiť má - na zabránenie automatických necielených útokov od spamovacích robotov.

fruity:
„pokud se někdo cíleně zaměří na stránky.“
Pri malých weboch s nie veľmi veľkou návštevnosťou, ako napríklad v tejto diskusii, stačí cielený ban, či nejaké vhodné cielené obmedzenie.
Pri weboch s veľmi veľkou návštevnosťou to treba riešiť napríklad tými obrázkami, návštevníci sú však za to otravovaní nadbytočnými úkonmi.
Ide o vhodný pomer medzi vplyvom a reakciou naň.

„podle mě se dneska dá prolomit úplně všechno pokud se někdo cíleně zaměří na stránky.“
To je ako tvrdiť, že otvoriť bez kľúča sa dá každý zámok - a predsa sa zámky stále používajú.

fruity:
„Jaká je tedy ochrana pro větší weby, které nechtějí trestat takové uživatele?“
Napríklad alternatívne zvukové prehratie.

Zatial neprelomena Recaptcha, nemal som s nou problem, jednoducha instalacia. A aj pre nepocujucich.

// A ked budes mat dalsiu myslienku nabuduce, tak je tu tlacitko na editovanie prispevku, tak si to tam dopis.

[#22] fruity:
Připadá mi, že jseš asi uplně mimo. Už v [#2] ti johnl napsal velmi dobré řešení pro malé weby.

U velkých projektů, kde hrozí cílené napadení se musí použít obrázková (plus mluvená) captcha.

Pokud si stěžuješ, že je nějaká captcha, co jsi našel na netu špatná, tak si udělej svojí. Jestli se ti nechce dělat svojí (nebo to neumíš), tak se dá usuzovat, že nemáš velký web a tudíš jí nepotřebuješ a stačí ti řešení z příspěvku [#2].

fruity:
Můžeš generovat i náhodný příklad, ve tvaru „devět plus čtyři je?“ a input, tohle i program pro nevidomé přečte a robot to nepochopí.. Něco jiného je cílený útok, když někdo bude chtít něco překonat, většinou se mu to podaří..

fruity:
Dovolím si ještě přispět svou kapkou do mlýna.
Již delší dobu zkouším kombinovat metodu s minimálním časem, jak popisuješ Ty, společně se schovanými textovými poli. Ty fungují tak, že v normálním formuláři jsou přidané inputy, které jsou pomocí css schovaný a pro čtečky nevidomých lidí označeny nějakým textem. Člověk je při vyplňování nevidí, a tak je ani nevyplní. Robot je nerozpozná. Pokud je takové textové pole vyplněné, je celkem pravděpodobné, že se jedná o robota.

fruity:
A podíval ses jak to má řešené tahle diskuze? (ano, pořád omíláme to, co je ve [#2]). Nevím co máš za web, ale myslím si, že tahle diskuze bude o něco větší, známější a profláklejší projekt a nějaké extrémní problémy se spamem jsem tu nezaregistroval (pravda, určitě v tom mají prsty i moderátoři).

Nikdo neříká, že tvoje řešení není funkční, ale dost možná bude mít nějaká nepříjemná úskalí omezující uživatele - odeslání napoprvé se nepovede (výpadek spojení či co), po refreshi zůstane textarea vyplněná a čas se počítá znovu od začátku - uživatel se pokusí opakovaně odeslat (pochopitelně dříve než uplyne limit) a nazdar - je označen za spamujícího robota. Navíc záleží také na tom, jak uchováváš a předáváš čas načtení stránky - pokud jako hodnotu v nějakém hidden inputu, robot si ji může bez problémů upravit a nemusí na nic čekat (proč by to někdo ale u malých stránek dělal, že). To samé platí u čekání - není problém robotovi říct aby stránku načetl, počkal 10 vteřin a pak teprve odeslal spam (dodělat do robota tuhle fíčuru je imo o dost jednodušší než naučit ho JS nebo sčítání). Ale zase - kdo by se s tím u malých stránek obtěžoval, že?