Flash Cookies würde ich wieder nicht nehmen. Mansche Plugins, Addons und Browser akzeptieren keine Cookies und nur Sessions. Und es gibt ja nur einen Account und das ist meiner! Und der soll garantiert nicht gesperrt werden xD

Und es gibt ja nur einen Account und das ist meiner! Und der soll garantiert nicht gesperrt werden xD Und selbst wenn, da es nur einen Account gibt (meiner), kann es mir ja egal sein wenn für außerhalb iein LAN gebannt ist. Sie würden ja versuchen sich auf meinen Account einzuloggen! Hättest du was anderes? Wenn nein danke trz.

Wenn du eine sichere Veschüsselung hast, bringt auch kein Bruteforce
Und wenn dann gibts auch sowas wie htaccess Schutz!

Gruß Sysix

Wenn es nur um deinen Account geht, ist das an sich sogar ziemlich einfach.
1. Den Login nicht auf die Startseite und auch nicht unter [Link: Registrierung erforderlich] machen
[Link: Registrierung erforderlich]
da kommt niemand hin

Andere Alternative eine Whitelist oder wie Sysix schreibt eine sichere Verschlüsselung benutzen bcryt auf 5 Sekunden und fertig.
Wenns dir sehr wichtig ist, setz ihn auf 10 Sekunden und nimm ein sicheres Passwort.
Dann ist es unknackbar.

Am besten [Link: Registrierung erforderlich]
und ein 5 Sekunden bcryt.
Immer merken: md5, Sha... sind nicht für PW Verschlüsselungen gemacht

Bullshit, implementiere ruhig eine IP Sperre, ist besser als nichts. Die IP zu ändern (per Proxy oder Reconnect) dauert verhältnismäßig lange, daher lohnt sich Bruteforce dann nicht mehr.

Wenn du eine sichere Veschüsselung hast, bringt auch kein Bruteforce
Und wenn dann gibts auch sowas wie htaccess Schutz!

Wieder Bullshit und Bullshit, mit Bruteforce bekommt man jedes Passwort raus, Voraussetzung ist nur unendlich viel Zeit.
Verschlüsselung bringt da überhaupt nichts.
MD5, SHA und wie sie alle heißen haben keinerlei Effekt auf die Sicherheit des Logins. Es ist nur eine weitere Sicherheitsvorkehrung falls es jemandem gelungen ist an die Datenbank zu kommen, sodass die Passwörter nicht im Klartext dort stehen.

Achte lieber auf MySQL Injections, etc., das kommt in der Praxis viel häufiger vor.
Oder lass die ganze Sache direkt sein, wenn man solche Fragen stellt, ist man nicht in der Lage ein CMS zu schreiben.

kann ich sicher noch einbauen trz. bringt es mir ja nichts weil cracken und hacken ja noch ein Unterschied ist und das kein Hacking Schutz gegen Bruteforce ist xD

//Edit

Ich habe einfach eine Geheimfrage mit eingebaut und schon ist alles okey Danke an alle!

oder einfach bcrypt mit nem zufalls salt und das ganze doppel salten dann haste so gut wie keine collisionen und sicher ists dazu auchnoch

Ich genauso. Sorry das ist doof. Außerdem gehts ja garnicht darum xD

was hat die länge des passwortes mit der encryption methode zutun?
bcrypt ist sehr sicher da kannste auch 100stellige pws mit hashen
und wenn du das ganze mit nem zufalls salt doppelt hashst ist es noch sicherer

"Kritisch ist die Beschränkung der Länge des Passworts durch bcrypt auf 55 Bytes"

hm komisch also ich habe keine probleme pws mit mehr als 100 zeichen per bcrypt zu hashen

wenn ich mich wegen der Uhrzeit jetzt nicht verrechnet haben sollte dann kann man auch ein PW mit der Maximallänge von 440 Zeichen verwenden?! Also NP. Um eine Verschlüsselung geht es aber nicht xD!!!!

Ich glaube ich verstehe was du im Kern meinst aber zumindest das letzte ist unhaltbar. Natürlich wird die Sicherheit erhöht wenn der Hashing-Algorithmus eine hohe Laufzeit (mehrere Sekunden) hat. Unendliche Zeit ist ein theoretisches Konstrukt. Es muss gar nicht diskutiert werden, dass wenn man Hürden aufbaut, es die Sicherheit erhöht, auch wenn es sie nicht komplett gewährleistet. Wenn du 5 Sekunden pro Login benötigst, dann musst du bei einem Passwort nur Gro/Kleinbuchstaben und genau 6 Zeichen im Schnitt Milliarden von Permutationen durchprobieren. Das müssen wir gar nicht mit konkreten Zahlen durchexerzieren, es ist offensichtlich, dass das einen Brut-Force-Angriff massive erschwert oder in der Praxis sogar unmöglich macht.

Der von dir unterstellte kausale Zusammenhang ist nicht korrekt. Es handelt sich um eine Art der Informationssuche. Ob man nun hier fragt oder Tutorials, Bücher, Dokumentationen liest, kann zum gleichen Wissen führen.

Du willst mir also erzählen, dass man durch Belastung des Servers eine höhere Sicherheit erzielt? Naja, im Grunde stimmt es, aber das hat nichts mit dem Hash zu tun. Eine künstliche Verzögerung würde das gleiche Ergebnis erzielen. Ob es benutzerfreundlich ist den User 5 Sekunden auf den Login warten zu lassen ist die andere Frage.

Solche Sicherheitsvorkehrungen sind elementare Dinge. Bevor man so etwas nicht verstanden hat sollte man nicht auf die Idee kommen ein CMS zu schreiben.
Wieso muss man eigentlich immer das Rad neu erfinden und greift nicht einfach auf altbewährtes zurück?