Wie können falsche Angaben im Login begrenzt werden?

[4sale1]

Wie eine Schnell-Check Überprüfung des Shop zeigte, ist die Anzahl falscher Eingaben beim Login nicht begrenzt. Dies kann ggf. dazu führen, dass wenn man eine Aktion gegen den Shop vornimmt und gewisse Zeit dafür investiert das Admin Passwort knacken kann.


Um Brute-Force Attacken auf das Login-Formular zu vermeiden, sollten Benutzer nach dem fünften nicht erfolgreichen Login automatisch für bspw. 20 Minuten ausgesperrt werden. Ist das nicht der Fall sollten zumindest folgende bekannte Standardpasswörter bei der Registrierung unterdrückt werde (Passwort; 12345678; ‚Benutzername’ ; ‚Shopname’)

Gibt es für xt:Commerce Version 3.04 SP 2.1 die Möglichkeit bei falschen Angaben die Eingaben im Login zu begrenzen?

[tufti]

Gute Frage und gutes Thema. Mußte bei meinem Provider den Shop rausnehmen. Dieser hatte Sicherheitsbedenken. Habe nun selber einen Apache-Server und versuche diesen sicher zu machen. Im Error-Log von Apache erscheint nichts. Geht alles über login.php
Wenn dann kanns nur eine php-Lösung sein. Meine Idee wars mit fail2ban den Zugang nach Fehlversuchen zu unterbinden.

[4sale1]

Es wäre nett und sehr hilfreich, wenn seitens der Moderatoren eine kurze Reaktion auf die sicher nicht unwesentliche Frage erfolgen würde!

[shd-media]

Hi,

das Problem ist bekannt. Es gibt bereits einen brute-force schutz. Einfach mal googlen oder PM schicken, dann bekommt ihr den Link...

[xtc-beginner]

hättest du mir den link für den brute force schutz

mail: surf-andrea@gmx.de


Danke!!!

[4sale1]

Zitat von shd-media

Hi,

das Problem ist bekannt. Es gibt bereits einen brute-force schutz. Einfach mal googlen oder PM schicken, dann bekommt ihr den Link...

PM mit eMail-Adresse zwecks Übersendung ist an Dich/Euch raus!

Gruss 4sale1

[4sale1]

Zitat von 4sale1

PM mit eMail-Adresse zwecks Übersendung ist an Dich/Euch raus!

Gruss 4sale1

Hallo,

leider noch keine Rückmeldung trotzt eMail Mitteiling. Woran liegts?

[4sale1]

Zitat von shd-media

Hi,

das Problem ist bekannt. Es gibt bereits einen brute-force schutz. Einfach mal googlen oder PM schicken, dann bekommt ihr den Link...

Nur geplaudert oder könnt Ihr mir den Link noch zusenden?

eMail ist bereits zweimal an Euch raus. Woran liegt's? Würde mich über eine Reaktion freuen!

Gruss 4sale1

[pizko]

Kann mir auch jemand den Link zukommen lassen? oder hier für alle veröffentlichen.. konnte bei google nichts finden.. thx for replay

[c-ool]

ich habe eine einbauanleitung für einen bruteforce-schutz bei self-commerce (basiert auf der 3.0.4SP1) - allerdings weiß ich nicht ob das auch bei 304SP2.1 funzt .... wenn jemand Zeit hat das auszuprobieren kann er sich gerne bei mir melden - leite die anleitung dann weiter.
würde mich im gegenzug über feedback freuen (habe einfach keine zeit zum testen - fals es aber funzt würde ich es gerne selber auch einbauen)