Защита авторизации без капчи

Всем привет, недавно у меня появилась идея но вот как её реализовать я пока не придумал.

Описание:

Есть форма: логин, пароль, кнопка. Хочу сделать так что-бы при неправильном вводе логина или пароля, сохранялся некий параметр числа попыток входа. Допустим максимальное число попыток 5 раз. Если была допущена ошибка при авторизации 5 раз. То человек не может авторизироваться в течении 15 минут. Как только 15 минут прошли, количество обнуляется и у человека появляется опять 5 попыток. И так всегда.

Помогите пожалуйста советом, как такое можно реализовать. Буду благодарен за любую помощь =)

Через сессии. Сохраняете время первой попытки в сессионную переменную, и заводите счетчик попыток, который инкрементируется при каждой новой неудачной попытке.

храни в бд время последней попытки и общее их количество(у каждого логина будут свои поля,соответственно),а дальше уже чекай и сверяй...
(Добавление)

удалю куку и начну брутить по новой
(Добавление)
а еще лучше - вообще не приму

likvidator, согласен. Но это можно тоже отследить и если куки не ставятся - вообще запретить попытки авторизации.
А при использовании базы есть риск чрезмерного роста объема таблицы.

Благодарю за помощь! Ребят, а есть какие либо примеры по данному вопросу? Я просто с временем никогда не работал ещё

Что? Поле типа int вызовет чрезмерный рост? Бред


В таблице mysql пусть будут поля
id | login | pass | attempts | lastLogin

При попытке авторизоваться берём значение attempts, если меньше 5, увеличиваем значение attempts+1, записываем lastLogin = time()
Если больше 5, берем lastLogin
Если time() - lastLogin < 15*60 //15 минут не прошло, отказываем в авторизации
Иначе - обнуляем attempts, разрешаем авторизацию

(Отредактировано автором: 24 Февраля, 2015 - 18:15:14)

Ts.Saltan, а я возьму скрипт, который будет генерить случайные пары логин пасс и по 100 запросов в сек посылать на сайт. Что случится с базой?

Спасибо! Пойду пробовать =)
(Добавление)


эх( Так что мне делать? Подскажите)))

Эмм, с базой, наверное, ничего
Ну забьются у пользователей значения attempts до 5, ну через 15 минут обнулятся. Всё
(Добавление)

Не бойтесь, строить защиту такого рода на куках/сессиях мало того небезопасно, но и нелогично
Сначала сделайте это, а потом можно и к ip блокировки привязать

Благодарю =)

учитывая,что это уже тупо ддос... Что мне мешает заходить на сайт с заного очищенной кукой? и заставлять пых генерить новый сессионый файл? и делать эти же 100 запросов в сек?
(Добавление)
причем 100 сессионных файлов и 100 записей в бд - штуки настолько разные(в плане нагрузки),что даже обсуждать,что есть лучше,а что хуже - глупо

Если ещё актуально то опишу своё мнение
Никаких сессий и кук, это работать не будет. Только бд либо файлы, но лучше бд. Защиту лучше делать не по логину, а по ip т.к. можно делать простым перебором по словарю разных пар логин:пароль
Таблица простая
id ip lastTime
по полям я думаю всё ясно?
При попытке входа выбираем 5 последних записей за последние 15 минут с данного ip

-----
Если вы хотя бы 3-4 раза не решите всё выкинуть и начать заново - вы явно что-то делаете не так.