Вот в этом вся суть Простым переборам никто пользоваться не будет, это очень затратно по времени. Брутят всегда по словарям. Если пароли не словарные и не комбинированные словарные, то бояться нечего. Другое дело - сможете ли вы выдвигать такие требования абсолютно ко всем паролям пользователей?

угнетать пользователей ... неее.

максиму что я порекомендовал - длина пароля. от и до. и конечно указал бы рекомендации + генератор пароля аля md5 или sha1 в 15 символов

На одном из юмористических сайтов прочитал. название не буду указывать, дабы рекламы не было.
Я не буду приводить весь текст, но смысл был в том, что практикующий преподаватель юрфака поставил зачет бестолковому студенту со словами: Пока будут такие, как ты, я буду востребованным специалистом на рынке труда.

А для ТС еще раз повторю - от любых извесных методов хака защищаться необходимо. ради интереса можно просто погуглить на тему брута, и убедиться, что тема очень востребована и технологии развиваются.

При выполнении заказов у меня брут пашет почти на протяжении всего времени работы - FTP, SSH, RDP веб-интерфейсы и т.д. Это вещь очень эффективная.

Я их тоже включаю в список обработки, даже те которые содержат всякие защиты типа блокировки аккаунтов
Вообщем моё мнение здесь таково, что брут веб-форм угроза реальная.

Нет, это было на anekdot.ru лет 10 назад. Допускаю, что это уже стало байкой в различных интерпретациях.

А по теме:
Мы дискутируем на тему паролей.
Паролей пользователей.
Что мы делаем? Сайты для пользователей или набираем пользователей, достойных для нашего сайта?
Лично я делаю для пользователя, и понимаю, что как бы я не тужился, каки бы я советы не давал, все равно будет пароль - 123456. И задача, чтобы взломать аккаунт с этим паролем было бы как можно сложнее - это моя задача.
Так что, я сделаю для этого все, что возможно.
А если выдвинуть пользователю, что пароль - marija использовать нельзя, и marija123 тоже нельзя, то высока вероятность, что эта Маша просто плюнет и пойдет на другом сайте регистрироваться.

Нельзя забывать, что есть еще персонал, который обслуживает клиентов сайта.
Админка интернет-магазина. И ты хоть кол чеши на спине этих девочек, которые обрабатывают заказы, но пароли от их учеток в админеке будут marusja123. А введешь ограничение, пароли появятся в файле password.txt на десктопе. И в условиях жесткой конкуренции, если это не г. Мухосранск, а организация с мощным оборотом в онлайн-торговле, то атаки на компы были и будут.

Сделали заказ, позвонили уточнить - ответила Маша. Маше заодно влили в уши какой у нее голос зашибись, она дура, раскисла и вечером из дома общается уже в однокласниках с клиентом. далее классическим методом соц. инженерии знают кличку ее собаки, мамы и дату ее рождения.
и утром орудуют под ее аккаунтом в аминке.
Итог - прощай база клиентов.
Виновна Маша? Ничего подобного - виновен программер.
У меня на сайте с базой клиентов около 200к вообще блуждающая админка. Каждый день в новом каталоге. И при логине оператора, проверяется соответсвие нашего IP и IP логина.

Параноя? Может быть, но пока что ни на один тестовый мейл из базы не пришла рассылка от конкурентов. И я сплю спокойно.

И чего брут проходит по FTP и SSH с успехом?

Ясно теперь, чего хостер у меня буровит, с понтом пароли менять каждые полгода в обязательном порядке из-за хомячков.

Ну не ужели трудно сделать пароль 50 символов

Да, но лишь словарный. Для простого не хватит времени, какой бы хорошей связь не была.

+1
В вопросах безопасности, всегда нужно быть параноиком

Белый Тигр
а какой размер словаря используете? Если не секрет.

Зависит от ситуации - кол-ва доступного времени, кол-ва аккаунтов, скорости перебора. Иногда словарь берётся в несколько килобайт, иногда и в несколько мегабайт. А так есть и гигабайтные словари))

А словари общедоступные из сети\гугла или какие-нить нажитые опытом\с закрытых форумов\etc ?