David

"Ach, der Herr F. spielt lieber wieder bei php.de rum, anstatt sich mit meinem COM Problem zu beschäftigen. Gut dass wir hier in der Firma alle per NAT ins Netz gehen. Na dann gebe ich mal drei Mal das falsche Passwort für ihn ein, ist ja schnell gemacht. Dann hat er Zeit..."

Mister Ad

Koala

genau ! - endlich sind wir uns einig.

ne:
was meinst Du warum es Banken beim online banking genau so machen:
drei mal falsche Eingabe -> tschüß ?

David

Und warum meinst Du, macht google es genau so: normal->throttle->captcha-(viel später)->sperren ?

edit: aber um Deine Frage zu beantworten: Weil man beim Benutzer das Interesse voraus setzen kann, in die Filiale zu spazieren und sich entsperren zu lassen. Außerdem kann er sich immer noch über ein "has a" anstatt eines "knows a" authentifizieren, in letzter Instanz mit dem Personalausweis.

Koala

weil es Google nicht in dem Maß auf Sicherheit ankommt
wie einer Bank ?

David

siehe letzter Post, edit.

Koala

Wenn wir von der bestmöglichen Usability ausgehn,
dann ist es am besten man läßt Captchas etc. komplett weg.

Es ist immer ein Abwägen von Sicherheit und Usability.

In diesem Thread geht es aber um einen möglichst sicheren Login.

David

Das ist dann die Schäuble-Herangehensweise.

Übrigens wird der Online-Zugang bei meiner Bank nicht nach drei falschen Passwort-Eingaben beim Login dauerhaft gesperrt. Nur bei Aktionen, die die TAN benötigen.

Und Du kannst den Service wie gesagt auch gleich vom Netz nehmen. Da musst Du keine drei falschen Eingaben abwarten, um totale Sicherheit zu erreichen.

Koala

Du merkst aber, daß Du völlig unsachlich wirst ?
Dann sag doch den Banken sie sollen ihr Online-Banking dicht machen
und daß sie eine "Schäuble-Herangehensweise" pflegen.

nikosch

Nichts hindert einen Bot/Angreifer daran, den Session Cookie zu löschen.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

David

Nein, sage ich ihnen nicht. Nochmal: Bei meiner Bank wird der Zugang nicht nach drei Fehlversuchen beim Login gesperrt.
Am Bankautomaten brauche ich zusätzlich noch die Karte (also has-a und knows-a kombiniert). Da kann eben nicht jeder Krethi und Pleth nach Lust und Laune den Zugang sperren. Und beim Online-Login eben auch nicht. Es sind Schutzmechanismen vorhanden. Aber eben nicht "irgendwer tippt eben flux drei Mal irgendwas ein und Du bist raus". Denial of Service fällt bei mir nicht in die Kategorie "hackersicher".

genau ! - endlich sind wir uns einig.