Если кто-то использовать систему паролей на основе аутентификации, который должен использовать менее важно, чем то, как вы его используете, в частности, какую схему вы применить для засолки; В то время как более крупные хэш даже при правильном хэширования увеличить объем памяти, необходимый для предварительно вычисленных таблиц не устраняют угрозы, надлежащую засолка может.

Я хотел бы добавить, что наиболее важные элементы инфраструктура веб-аутентификации предлагает как смягчение, связаны к тому, как блокировки учетных записей и восстановительных работ.

Кроме того, интеграция многофакторного метода аутентификации, например "поступив" машина в качестве законной консоли, в которой торговля может происходить с помощью установки ключа AES в куки пост "регистрация" который должен присутствовать для аутентификации на счет без дополнительных счетов доказательств также помогает много и нет (если сделано правильно) сделать удобство системы бедных.

Вообще-то я encorage клиентов о перенимать основы аутентификации (ала OpenID, Facebook и т.д.) или федеративными, однако я не думаю, что это подходит для обменов; в том, что потребности в безопасности этих систем различны, и вы подвергаете себя их риски (до некоторой степени), делая это.

Пороги транзакций, которые escelate на основе reputatation (история сделки, норма и т.д.) также являются очень ценными, хотя я могу appriciate, что бы сопротивление этому, но это может быть один из самых эффективных смягчающих.

CAPCTHA предлагает очень ограниченную ценность, блокировка учетной записи более approprite.