强烈建议禁止访客一下群组在新人区以外发帖！

恋爱的夏娜

氧化·还原 发表于 2013-3-28 02:19
1 其实大家都不是每次都输密码登录的。大家用帐号登录，只要不清理浏览器，都是打开卡饭就已经登录了。
...

在Hash和Cookie被盗用的情况下，不存在密码测试问题，登陆者可以直接登陆你的对应session账号和相关信息，服务器不会认为有问题，这个是关键，还需要改善登陆信息验证机制，比如加盐~~

恋爱的夏娜

氧化·还原 发表于 2013-3-28 03:00
好，换一个，弄几个卡通人物的照片，有正面有背面，看第几张正面第几张背面。还可以弄几张动物的 ...

这样对那些不了解这个分类的人来说同样是一个困扰，而且次数一旦多了，反感的会员会呈几何级数向上涨，而且还是那个关键，遍历验证码，只要遍历了有限数量的验证码，然后取得特征点，计算机要知道你这个是老虎是猫简直跟玩儿一样简单，他不需要知道老虎和猫长得什么样子，他只需要知道：有几个特征点存在，就是老虎和猫。越复杂的图片仅仅线性的增加破解者的识别难度，却不会显著增加安全性，而易用性的减少可就不一定是线性的了。

氧化·还原

恋爱的夏娜 发表于 2013-3-28 02:54
所以针对性破解，任何防御都是失效的，除非你脱离了视野范围或者被灭，和CNC4里面拿着升级水晶的单位要被 ...

任何技术在目前都是有穷尽的。我不信有黑客能知道美国的核导弹密码（我敢说当年苏联肯定针对性破解过，显然失败了）。虽然没有绝对安全，但是毕竟还是有很多东西的安全系数是极大的，有很多的保密方式被破解的可能性是极低的。
虽然我们的安全性做不到那么夸张，但我们可以说做到尽可能的安全，使用我们现有的资源和权限，尽量向方便用户和安全性方面努力。

氧化·还原

恋爱的夏娜 发表于 2013-3-28 03:05
这样对那些不了解这个分类的人来说同样是一个困扰，而且次数一旦多了，反感的会员会呈几何级数向上涨，而 ...

可以用正面和背面。各种动物都可以，图片可以弄得很多。如果有时间，弄两三万张并非不现实

恋爱的夏娜

氧化·还原 发表于 2013-3-28 03:07
任何技术在目前都是有穷尽的。我不信有黑客能知道美国的核导弹密码（我敢说当年苏联肯定针对性破解过，显 ...

所以验证码的验证机制存在的固有缺陷使得其用来防破解几乎不可能，当然如何使破解成本呈几何级数上涨怕倒是值得管理层好好想想，毕竟成本高到了一个难以企及的地步的时候，就算不怎么设防，也可以做得很好，就比如机械硬盘，没见到哪家山寨厂商推出吧？因为门槛太高。

氧化·还原

恋爱的夏娜 发表于 2013-3-28 03:01
在Hash和Cookie被盗用的情况下，不存在密码测试问题，登陆者可以直接登陆你的对应session账号和相关信息， ...

这是问题，但是卡饭没办法解决吧

恋爱的夏娜

氧化·还原 发表于 2013-3-28 03:10
这是问题，但是卡饭没办法解决吧

所以我天天DZDZ的不是，就是这个原因。

恋爱的夏娜

氧化·还原 发表于 2013-3-28 03:09
可以用正面和背面。各种动物都可以，图片可以弄得很多。如果有时间，弄两三万张并非不现实

用小概率事件总有发生的概率来想这个问题，么。
也可行，但是实现成本太大，目前还是考虑一下怎么大幅度提高违法成本来的更实际一点。
你真的看完了我那大堆分析？

氧化·还原

恋爱的夏娜 发表于 2013-3-28 02:58
程序漏洞永远不可能完全补完，哪怕是一个Hello World都有可能有漏洞，所以你说的这条路理论上永远堵不死， ...

毕竟现在还没有真正的人工智能，所以总能找到一些人脑跟机器的识别差别。从这些地方努力。

恋爱的夏娜

氧化·还原 发表于 2013-3-28 03:13
毕竟现在还没有真正的人工智能，所以总能找到一些人脑跟机器的识别差别。从这些地方努力。

是一个哟意思的突破口，呢