Strongbox security system

Реально стоит она своих денег или не обязательна?

Я со стороны юзера смотрю - полное мозгоебство....
Т.е. даунлодеры не действуют т.к. куки надо тащить.... и глючит часто при авторизации.

Полностью согласен о неудобстве со стороны пользователя.

С другой стороны Strongbox у меня по 6-7 массированных брутофорсов в месяц отводит. Ну и сразу отпадает варик с выкладыванием паролей на форум и т.д.

С третьей стороны клиенты таких форумов все равно не референтны, а контент все равно сопрут.

Вобщем палка о двух хуях.

Кто думает, что СБ дает защиту и спокойствие очень наивен. Помогает он разве что от школьников, а нормальных хацкеров с тысячами проксей он не остановит. Его сломать - дело двух минут, хотя бы потому, что капча у него OCRом элементарно распознается. У нас ломали постоянно, в итоге начали дописывать самописные модули, а закончили полностью переписыванием его.

Проблем в даунлоадерами и логинами нет, из юзеров никто не жаловался, наверное настроен криво. Но я крайне не рекомендую его, хотя бы потому, что его сорц известен всем, в тч и хацкерам.

Tim-fg - Он их не останавливает, они просто пароль подбирают и уходят. Как например тут http://passwordbay.org/archive/index.php/t-12471.html

На том kinky-rubber SB как раз не стоял.

ИМО сила СБ не в капче, а в том что после первой же попытки логина с IP отличного от зарегстрированного акк лочится. Согласен что это можно обойти, но затраты на это однозначно не стоят $24.95.

tim-fg писал:

На том kinky-rubber SB как раз не стоял. ИМО сила СБ не в капче, а в том что после первой же попытки логина с IP отличного от зарегстрированного акк лочится. Согласен что это можно обойти, но затраты на это однозначно не стоят $24.95.

Хех, ниче там не блочится, по крайней мере на дефолтных настройках. Если блочить по твоей схеме, тогда у тебя 80% нормальных юзеров будет блочиться, у которых либо ИП динамический, либо разные провайдеры - тебя они тогда тухлыми помидорами забрасают.
Еще раз повторюсь, он только от школьников защищает. Приходит ботнет с тысячей разных ИП и словарем из реальных логинов/паролей (а в оснвном ломают юзеров, которые юзают тот же логин и пасс на всех сайтах). При таком подходе СБ ломается моментально, как я и говорил нас ломали с ним неоднократно, пока не усилили самостоятельно защиту.
И кстати ломают не потому, чтобы сэкономить 25 баксов, а из-за спортивного интереса

PS Хотя я даже и не прав -вот кстати набор юного техника http://forums.security-forum.net/tutorials/74936-tutorial-how-to-crack-porn.html
С ним сломать СБ уже и школьник может

У меня работает именно привязка к IP, жалуются не больше 2-3 чел в мес, что тут же решается в личном порядке.

tim-fg писал:

Ну и сразу отпадает варик с выкладыванием паролей на форум и т.д.

Да ради бога, я так сказать просто инфу к сведению - СБ ломается очень просто, поэтому сильно на надежд на него не возлагайте. Вот смотри, из свежего:

http://www.passwordbay.org/showthread.php?t=15530
http://www.exbii.com/showthread.php?t=7751&page=17

Вообще гугль тебе в помощь http://www.google.com.au/search?client=safari&rls=en&q=memb…W9caXx7eYL - будь чем заняться на выходные ;)

Удачи!

Я думаю, мы просто друг друга не поняли. Одна из задач СБ как раз и состоит в том что бы похерить аккаунты, доступ к которым потерял дискретность. Акки, на которые ты скинул ссылки СБ удалил в тот же день когда их выложили на форумы. Так что необходимость лихорадочно мониторить гугл и форумы отпадает.

Я еще в первом посте написал что СБ не панацея, а очень даже спорное решение.

Наверное не поняли.... то, что они выложили логины к твоему сайту, означает, что они смогли сломать СБ и получить доступ к контенту. СБ уже забанил их после того, как несколько юзеров зашли под этими логинами.

Не. Совсем не означает. Есть куча других методов получения логинов, включая оплату мембершипа. Но, конечно, взлом СБ тоже исключать нельзя. Вобщем, конструктивная переписка вышла ))

Главное что стороннему наблюдателю раскрыли все "за" и "против".

Не знаю может мой вопрос будет не много оффтопным, но тоже связан с надёжностью вопроса логин/пароль - как вы думаете, какой вариант сложнее подбирать ломателям мемберок - когда юзеру самому требуется придумать логин и пасс для мемберки при JOIN-e или когда скрипт сам генерирует случайный набор символов на основании каких-то данных введённых юзером?

логин пусть придумывает сам
а пароль генерится автоматом и не даю изменить
конечно можно сменить в форме самого била, но до этого далеко не все додумываются
после такого брутфорсы по реальным логинам/паролям просто немного грузят канал и не более
до этого после брута появлялось 3-5 подобранных пароля