Éviter les attaques par force brute

<?php

	class Connexion
	{
		// Attributs 
		protected $erreur;
		protected $probleme;
		protected $donnees;	
		protected $ip;
		
		// Constantes 
		const NOMBRE_TENTATIVE_MAX = 10;
		const TEMPS_LIMITE = 300; // en seconde
		const MESSAGE_BRUTEFORCE = 'Détection d\'une tentative de bruteforcing';
		
		public function __construct()
		{
			$this->probleme = '';
			$this->erreur = false;
			$this->ip = $_SERVER['REMOTE_ADDR'];
			$this->donnees = array();
		}	
		
		// Création d'une instance Membre 
		public function connecter()
		{
			session_regenerate_id(); // Protection contre la fixation de session 
			return new Membre($this->donnees);
		}		
			
		// Accesseurs || Mutateurs 
		public function getProbleme()
		{
			return $this->probleme;
		}
		public function is_erreur()
		{
			return $this->erreur;
		}
		
	}
	
?>

<?php

include_once('lib/classes/connexion.class.php');

class ConnexionForm extends Connexion
{
	// Attributs 
	private $email;
	private $password;
	private $password_hache;
	
	const TABLE_VERIF = 'connexion_tentative';	
	
	public function __construct($email, $password)
	{
		$this->email = $email;
		$this->password = $password;
		$this->password_hache = hacher($password);
		parent::__construct();
	}
	
	// Vérification de la conformité de l'email : string@string.string
	private function verif_email()
	{
		return preg_match('#.+@.{3,}\..{2,5}#', $this->email);
	}	
	// Vérification de la conformité du mot de passe (au moins 4 caractères)
	private function verif_password()
	{
		// Minimum 4 caractères pour le mot de passe 
		return (strlen($this->password) > 4);
	}
	// Vérification des tentatives de bruteforcing 
	private function verif_bruteforce()
	{
		$dbh = PDO2::GetInstance();
		
		$ip = $dbh->quote($this->ip, PDO::PARAM_STR);
		$timestamp_limite = $dbh->quote(time() - self::TEMPS_LIMITE);
		
		// Recherche dans la base du nombre de tentatives 
		$requete = "SELECT COUNT(*) AS nombre_tentative
		FROM connexion_tentative 
		WHERE ip = $ip AND timestamp >= $timestamp_limite";
		$result = $dbh->query($requete);
		$row = $result->fetch(PDO::FETCH_ASSOC);		
		$nombre_tentative = $row['nombre_tentative'];
		
		return $nombre_tentative > self::NOMBRE_TENTATIVE_MAX;
		
	}	
	// Sauvegarde des tentatives de connexion 
	private function sauver_requete()
	{
		$dbh = PDO2::GetInstance();		
		
		$requete = "INSERT 
		INTO connexion_tentative(id, timestamp, email, password, ip)
		VALUES('', :timestamp, :email, :password, :ip)";
		$stmt = $dbh->prepare($requete);
		$stmt->execute(array(
		':timestamp' => time(),
		':email' => $this->email,
		':password' => $this->password,
		':ip' => $this->ip
		));
		
		// Temporisation 
		sleep(1);
		
	}
	private function verif_cookie()
	{
		return isset($_POST['cookie']);
	}
	private function set_cookie()
	{
		$timestamp_expire = time() + 7 * 24 * 3600;
		setcookie('password', $this->password_hache, $timestamp_expire);
		setcookie('id', $this->donnees['id'], $timestamp_expire);
	}	
	
	
	// Vérification globale 
	public function verif()
	{	
		
		// Vérification de la validité des paramètres 
		if(!$this->verif_email() or !$this->verif_password())
		{
			if(!$this->verif_email())
			{
				$this->probleme .= 'email non valide <br/>';
			}
			if(!$this->verif_password())
			{
				$this->probleme .= 'Mot de passe non valide <br/>';
			}
			
			$this->erreur = true;
			
			// On retourne le(s) erreur(s) 
			return false;
		}
		else
		{
			$dbh = PDO2::GetInstance();
			
			// Vérification d'une attaque par force brute
			if($this->verif_bruteforce())
			{
				exit(self::MESSAGE_BRUTEFORCE);
			}			
			
			// Préparation de la requête
			$requete = "SELECT * 
			FROM membres 
			WHERE email = :email AND password = :password"; 
			$stmt = $dbh->prepare($requete);
			$stmt->bindParam(':email', $this->email);
			$stmt->bindParam(':password', $this->password_hache);
			$stmt->execute();
			
			// Si le couple email/password est incorrect 
			if(!$row = $stmt->fetch(PDO::FETCH_ASSOC))
			{
				$this->erreur = false;
				$this->probleme .= 'L\'email ou le mot de passe est incorrect';
				$this->sauver_requete();
				return $this->erreur;
			}
			else
			{
				$this->donnees = $row;
				return true; // true			
			}
		}
	}
	
	public function connecter()
	{
		if($this->verif_cookie())
		{
			$this->set_cookie();
		}
		
		//session_regenerate_id(); // Protection contre la fixation de session 
		return new Membre($this->donnees);
	}
}

?>

<?php

// Si le formulaire a été soumis 
if(isset($_POST['email']) and isset($_POST['password']))
{
	$connexion = new ConnexionForm($_POST['email'], $_POST['password']);
	if(!$connexion->verif())
	{
		$tpl->assign(array('probleme' => $connexion->getProbleme()));
	}
	else
	{
		$membre = $connexion->connecter();
		$_SESSION['membre'] = serialize($membre);
		$redirection = new Redirection('Connexion en cours...', 'index.php', 2);	
		$redirection->rediriger();
	}
}

?>

$passe = md5( '9d7a71afc42dd62a6c8826dab0fd8bf9b8353dc9' . $passe . 'e07f8c4ab682212744526982f0f08d336e1c9041' );

define("PREFIXE", "zer0");
          define("SUFFIXE", "forever");
          
          // Faites tournez le Hachage ^^
          $passe = md5( sha1(PREFIXE) . $passe . sha1(SUFFIXE) );