Passwort verschlüsseln (PHP)

[SG1]

Original erstellt von <csbs2>:
man sollte vershclüsslete Daten ohne Probleme auch wieder auslesen können

Warum verschlüsselst Du dann überhaupt?

[csbs2]

wenn die Leute ihr Passwort vergesse möchte ich denne ned gleich n neues schicken, die Idee ist das man nicht gleich auf dumme Gedanken komt

[prolog]

Hi

Bin nich gerade ne php Profi. Aber dann schau dich doch ma nach nem Modul(wenns sowas gibt) um, das DES, oder IDEA, oder BLOWFISH oder so implementiert.

[csbs2]

ja kennt niemand eine enfache Verschlüsselung die man auch einfach wieder entschlüsseln kann?

[csbs2]

ja kennt niemand eine enfache Verschlüsselung die man auch einfach wieder entschlüsseln kann?

[Tobsen]

ich würde dir auch zu md5 raten, aber des magste ja aufgrund der Einseitigkeit net (alles andere ist aber net sicher)... mir fällt der Name der anderen Verschlüsselung net ein (geht beidseitig) google mal nach php+verschlüsselung oder schreib dir zur Not 'ne eigene...
MfG

Tobsen

[Stomatch]

Hi,

Das Problem ist folgend: Wenn du eine Methoden suchst, mitdenen man Daten ent bzw. verschlüsseln kannst, bist du auf dem Falschen weg, da dir die Verschlüsslung nichts bringt. Jeder der das verschlüsselte Format hat, kann es dann einfach druch die Funk. laufen lassen die die Daten dann einfach wieder entschlüsselt. Klar weiß der nicht welches VA ( Verschlüsslungs Algo ) das ist, aber durch ein paar Testst kann man das auch herrausbekommen.

Nun kommen wir zu einer Lösung: MD5

MD5 verschlüsselt Daten aber kann diese nicht wieder "zurück holen".

Eine Passwordabfrage läuft dann ungefähr so:

PHP:

$md5_psd = md5( $eingabe_psd );
if( $md5_psd == $db_psd )
   => richtiges password

Hier kann man dem User nicht mehr das vergessene Password mitteilen, desswegen wird einfach ein neues Password generiert und dann mit md5 verschlüsselung in die db gespeichert...

Nun kann niemand, der die db mal gehackt hat das Password erkennen.

Ich hoffe ich habe dir ein bisschen weitergeholden.

Cu

[prolog]

Original erstellt von Tobsen:
ich würde dir auch zu md5 raten, aber des magste ja aufgrund der Einseitigkeit net (alles andere ist aber net sicher
Tobsen

Alles andere is net sicher ?
Was isn das fürn quatsch ?

[flenders]

Ja, zweiseitige Verschlüsselungsalgos sind nicht besoders sicher, da sie sich eben entschlüsseln lassen. Deswegen sind ja auch die meisten Verfahren einseitig

[yanni]

Man kann ja auch eine Verschlüsselung benutzen, bei der für die Ver- und Entschlüsselung ein Passwort benötigt wird, dass z.B. in der PHP-Datei als Konstante gespeichert ist. Wer den Quelltext nicht einsehen kann, kann also auch nicht entschlüsseln.
Möglich wäre eine einfache XOR-Verschlüsselung oder irgendetwas komplizierteres, wenn's einem nicht sicher genug ist.
Ansonsten würde ich auch eher eine Einseitige Methode wie MD5 vorschlagen und dem Benutzer einfach ein neues Passwort zuschicken, weil's doch sicherer ist.

Gruß,
yanni

[Tobsen]

@prolog ich sagte, dass einseitige Verfahren net sicher seien und wenn du den Thread aufmerksam verfolgt hast, weißt du auch warum... ist also gar net so ein Quatsch :p

[prolog]

@tobsen
Aber auch das stimmt nich !

[Shade Of Mine]

mysql bietet die funktion password - das ist wohl das beste

[mrchat]

jepp Password ist eig die beste funktion für diesen Zweck.. allerdings ist die, genau, wie die anderen nur für einseitige verfahren gut. Aber ich würde dir auch unbedingt zu einem einseitigen verfahren raten, da sonst unbefugte schnell an dein passwort kommen.
Wenn halt einer nen passwort vergessen hat, dann generierst du per zufall nen neues, trägst es in die datenbank ein und schickst es ihm per email zu. Und dann soll ers wieder ändern..

cya

[StudentJojo]

Wenn ich etwas mit crypt() verschlüssele, wie gross (wie viel char's) wird das dann? wenn ich z.B. ein wort mit der länge 10 char verschlüssele?

[StudentJojo]

Nochwas:

wenn ich z.B. crypt("test") speichere

dieses verschlüsselte wieder aus der DB hole, und mit crypt("test") vergleiche, liefert mir das dann den wert true??

[flenders]

Bei der Länge bin ich mir grad nicht mehr ganz sicher, kannst du aber ja einfach ausprobieren
Das mit dem Vergleich sollte so schon klappen, aber warum dann nicht gleich die PASSWORD Funktion von MySQL?

[ Dieser Beitrag wurde am 23.06.2003 um 21:48 Uhr von flenders editiert. ]

[StudentJojo]

ich weiss ned, wie die pssword-funktion geht...

[flenders]

UDPATE users SET password = PASSWORD('bla') WHERE user = 'blub';
SELECT id FROM users WHERE user = 'blub' AND password = PASSWORD('bla');

Ist nicht getestet - weiteres findest du in der Doku

[StudentJojo]

Ok, danke, klappt!
Gude nachd!