---

Hejsa

Hvordan laver man et script hvis en bruger har glemt sin adgangskode, så
kan han skrive sit brugernavn i et tekstfelt og klikke send og så
modtager han/hun en mail med sin adgangskode i?

--
Leveret af:
http://www.kandu.dk/
"Vejen til en hurtig løsning"

---

crha wrote in news:iE9b9.33638$ww6.2643868@news010.worldonline.dk:

> Hvordan laver man et script hvis en bruger har glemt sin adgangskode,
> så kan han skrive sit brugernavn i et tekstfelt og klikke send og så
> modtager han/hun en mail med sin adgangskode i?

Du beder brugeren om at oplyse sit brugerid, og så laver du et opslag i
din database, der udtrækker brugerens password og emailadresse.
Passwordet sender du så til din bruger.

Jeg synes dog, at du skal lave dit ønskede design om, så du ikke i din
database har brugeres passwords liggende som "klar-tekst". Jeg selv
bliver altid mobset, når jeg opdager, at en service har mit password
liggende som klar-tekst på deres server. Hvis en bruger har glemt sit
password, så laver du i stedet et "tilfældigt" password til brugeren,
som du indsætter i din database. Derefter sender du dette password til
brugeren i en email, samt fortæller brugeren, at hun nu kan logge ind
med dette password (evt. kun én gang) og at hun derefter bør/skal
udskifte sit password til et nyt. Det er i mine øjne en sikkerhedsbrist
i et system, hvis passwords ligger i klartekst noget sted.

Hvis du har mod på at kigge mere på løsning 2, så sig til ... så skal
jeg komme med nogle flere tekniske detaljer.



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|

---

Jesper Stocholm skrev:

> Du beder brugeren om at oplyse sit brugerid, og så laver du et
> opslag i din database, der udtrækker brugerens password og
> emailadresse. Passwordet sender du så til din bruger.

Er det ikke mere formålstjenligt at bede brugeren oplyse sin
emailadresse? Teoretisk set kunne han jo også have glemt login-
navnet. Emailadressen skal under alle omstændigheder bruges til at
sende passwordet til.

Man skal dog være opmærksom på at med mindre man har et unikt
indeks på emailadressen kan en adresse være knyttet til flere
logins. Det er ikke nødvendigvis et problem - så skal man bare
sende alle tilknyttede navne/adgangskoder.

--
Jens Gyldenkærne Clausen
MF (medlem af FIDUSO - www.fiduso.dk)
I ovenstående tekst benyttes nyt komma.

---

Jens Gyldenkærne Clausen wrote in news:Xns92799B28BC7jcdmfdk@
212.242.40.196:

> Jesper Stocholm skrev:
>
>> Du beder brugeren om at oplyse sit brugerid, og så laver du et
>> opslag i din database, der udtrækker brugerens password og
>> emailadresse. Passwordet sender du så til din bruger.
>
> Er det ikke mere formålstjenligt at bede brugeren oplyse sin
> emailadresse?

Jo (det kunne jo laves så emailadresse var brugerID) ... og det
ovenstående kan jo laves mere eller mindre avanceret. Det jeg ville
antyde med min formulering ovenfor var, at det ikke nytter noget at lave
en dialog med brugeren som "Indtast dit brugerID samt en emailadresse,
hvortil du gerne vil have sendt password." .. og så ikke checke, om det
er en kendt emailadresse.

> Teoretisk set kunne han jo også have glemt login-
> navnet. Emailadressen skal under alle omstændigheder bruges til at
> sende passwordet til.
>
> Man skal dog være opmærksom på at med mindre man har et unikt
> indeks på emailadressen kan en adresse være knyttet til flere
> logins. Det er ikke nødvendigvis et problem - så skal man bare
> sende alle tilknyttede navne/adgangskoder.

jeps ... hvis man ikke synes, at det kunne være et brud på sikkerheden i
applikationen.



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|

---

>Jeg synes dog, at du skal lave dit ønskede design om, så du ikke i din
>database har brugeres passwords liggende som "klar-tekst". Jeg selv

Interessant - har du nogle konkrete eksempler på hvordan det gøres med
kryptering?? Det ville jeg nemlig gerne bruge

Martin_P

---

Martin_P <mpXXX@alkaline-batteries.dk> wrote in
news:bedrmuo570g815tmhi7ao22hf743rl3jha@4ax.com:

>>Jeg synes dog, at du skal lave dit ønskede design om, så du ikke i din
>>database har brugeres passwords liggende som "klar-tekst". Jeg selv
>
> Interessant - har du nogle konkrete eksempler på hvordan det gøres med
> kryptering?? Det ville jeg nemlig gerne bruge
>
> Martin_P
>

At benytte ROT-13 eller en hjemmelavet rutine som skrambler password er
altid at foretrække frem for klartekst. Det behøver ikke være 4096-bit
superkrypteret rumstøj, bare nok til at en evt. opsnapper vil se at der
skal arbejdes på sagen for at bryde passwordet.

--

Klaus Ambrass
IT - Storstrøms Amt
kam@it.stam.dk

---

Klaus Ambrass wrote:
> At benytte ROT-13 eller en hjemmelavet rutine som skrambler password
> er altid at foretrække frem for klartekst.

Absolut ikke. Der *skal* bruges en envejsfunktion. Den krypterede værdi
gemmes i DB'en, og når brugeren taster sit password ind, krypterer man
dette og sammenligner. Det gør at man selvfølgelig ikke kan sende
brugerens password til en e-mail adresse, men det gør ikke noget, da man
bare genererer et nyt.

PS: Læg mærke til at alle sider, hvor du kan få tilsendt dit password i
tilfælde af at du har glemt det, har for dårlig en sikkerhed.

--
Jakob Møbjerg Nielsen | "Five exclamation marks, the
jakob@dataloger.dk | sure sign of an insane mind."
http://www.jakobnielsen.dk/ | -- Terry Pratchett, Reaper Man
Jeg søger et fuldtidsjob som programmør. Tag et kig på hjemmesiden.

---

Jakob Møbjerg Nielsen wrote in news:akkl53$6ic$1@sunsite.dk:

> Klaus Ambrass wrote:
>> At benytte ROT-13 eller en hjemmelavet rutine som skrambler password
>> er altid at foretrække frem for klartekst.
>
> Absolut ikke. Der *skal* bruges en envejsfunktion.

nemlig ! Hvis man blot vil bruge en funktion som fx Rot13, så kan man lige
så godt lade være. Hvis det gøres for at beskytte imod novicer, så vil de
sikkert ikke i det hele taget komme i nærheden af databasen ... og hvis
endelig en prof. får adgang til database, så vil ROT3 eller lignende nok
være det første man prøver at anvende.

Husk i øvrigt også på, at anvendelsen af hashede passwords ikke er en
undskyldning for at undlade at kræve, at passwords har en vis kompleksitet.
Selv den bedste hash-funktion kommer til kort overfor dårlige passwords.



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|

---

"Jakob Møbjerg Nielsen" <jakob@dataloger.dk> escribió

> PS: Læg mærke til at alle sider, hvor du kan få tilsendt dit password i
> tilfælde af at du har glemt det, har for dårlig en sikkerhed.

kan jeg få det uddybet?

---

Lars Hoffmann wrote:
> kan jeg få det uddybet?

Hvis du kan få tilsendt *dit* password (altså ikke et nyt), må det
betyde at de har gemt det på en måde, således at det kan findes frem.
Uanset hvordan man vender og drejer det, så er det bare ikke sikkert
nok.

--
Jakob Møbjerg Nielsen | "Five exclamation marks, the
jakob@dataloger.dk | sure sign of an insane mind."
http://www.jakobnielsen.dk/ | -- Terry Pratchett, Reaper Man
Jeg søger et fuldtidsjob som programmør. Tag et kig på hjemmesiden.

---

"Jakob Møbjerg Nielsen" <jakob@dataloger.dk> escribió

> Hvis du kan få tilsendt *dit* password (altså ikke et nyt), må det
> betyde at de har gemt det på en måde, således at det kan findes frem.

jojo, det er vi da enige om

> Uanset hvordan man vender og drejer det, så er det bare ikke sikkert
> nok.

Det er den samme påstand igen, men du argumenterer jo ikke for det.

---

Lars Hoffmann wrote:
> Det er den samme påstand igen, men du argumenterer jo ikke for det.

Ok, det er ikke sikkert nok. Hvis en person pludselig får adgang til
databasen/filerne, hvori brugerenes passwords bliver gemt, vil denne
person kunne få fat i *alle* brugernes passwords, uden at skulle
brute-force hver enkelt. Man kan dog godt gøre noget for at sløre
passwords, men så længe det stadig kan findes frem vha. algoritmer, er
det IMO en falsk sikkerhed.

--
Jakob Møbjerg Nielsen | "Five exclamation marks, the
jakob@dataloger.dk | sure sign of an insane mind."
http://www.jakobnielsen.dk/ | -- Terry Pratchett, Reaper Man
Jeg søger et fuldtidsjob som programmør. Tag et kig på hjemmesiden.

---

"Jakob Møbjerg Nielsen" <jakob@dataloger.dk> escribió

> Ok, det er ikke sikkert nok. Hvis en person pludselig får adgang til
> databasen/filerne, hvori brugerenes passwords bliver gemt, vil denne
> person kunne få fat i *alle* brugernes passwords,

Ja det er da ikke så fedt, men hvis en person kan få adgang til din database
er der da noget fundamentalt galt med sikekrheden, hvoraf problemet med
passwords sikkert er det mindste.

Med venlig hilsen
Lars Hoffmann

---

Lars Hoffmann wrote:
> Ja det er da ikke så fedt, men hvis en person kan få adgang til din
> database er der da noget fundamentalt galt med sikekrheden, hvoraf
> problemet med passwords sikkert er det mindste.

Ja, men man kan ikke sikre sig mod at der fx pludseligt bliver fundet et
eller andet MySQL exploit (jo, man kan selvfølgelig bruge Oracle .
Om ikke andet, så sikrer man sig i hvert fald mod at alle folk der har
(læse)adgang til DB'en, ikke kan misbruge den.

Men som du er inde på, hjælper det ikke meget at sikre sig med
krypterede passwords, hvis alt andet er et stort sikkerhedshul.

Er det ikke snart på tide at sige:

X-FUT: dk.edb.sikkerhed

--
Jakob Møbjerg Nielsen | "Five exclamation marks, the
jakob@dataloger.dk | sure sign of an insane mind."
http://www.jakobnielsen.dk/ | -- Terry Pratchett, Reaper Man
Jeg søger et fuldtidsjob som programmør. Tag et kig på hjemmesiden.

---

On Fri, 30 Aug 2002 10:56:26 +0200, "Lars Hoffmann"
<lars@intercambiodvd.com> wrote:

>Ja det er da ikke så fedt, men hvis en person kan få adgang til din database
>er der da noget fundamentalt galt med sikekrheden, hvoraf problemet med
>passwords sikkert er det mindste.

Ikke nødvendigvis. Fx er der altid en/flere administratorer, som i en
eller anden sammenhæng skal have adgang til databasen - uden at der
derfor er nogen grund til at de skal have mulighed for at få oplysning
om brugernes passwords.

--
Jørn Andersen,
Brønshøj

---

Lars Hoffmann wrote in news:akn6o3$3hd$1@newsreader.mailgate.org:

>
> "Jakob Møbjerg Nielsen" <jakob@dataloger.dk> escribió
>
>> Hvis du kan få tilsendt *dit* password (altså ikke et nyt), må det
>> betyde at de har gemt det på en måde, således at det kan findes frem.
>
> jojo, det er vi da enige om
>
>> Uanset hvordan man vender og drejer det, så er det bare ikke sikkert
>> nok.
>
> Det er den samme påstand igen, men du argumenterer jo ikke for det.

så lad mig gøre det ...

Hvis dit password ligger som klar-tekst i en eller anden database, så
risikerer du altid, at det vil blive misbrugt. Dette kan enten ske af en
administrator, der kan "overtage" din identitet. Du risikerer også, at
dit password kan blive misbrugt, hvis databasen bliver kompromiteret ved
udnyttelse af exploits. Problemet gøres endnu større ved den lille
detalje, at 92% af alle internet-brugere, der har adgang til flere
systemer - bruger samme password til allesammen.



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|

---

"Jesper Stocholm" <jespers@stocholm.invalid> escribió en el mensaje
news:Xns927A6863DD02Fspamstocholmdk@192.38.208.81...

> Hvis dit password ligger som klar-tekst i en eller anden database, så
> risikerer du altid, at det vil blive misbrugt. Dette kan enten ske af en
> administrator, der kan "overtage" din identitet.

Korrekt, men vil enhver admin med respekt for sig selv ikke have rettigheder
til at modificere whatever, således at han ikke har brug for dit password
for at udgive sig for at være dig. Jeg antalger at man kan stole på admins
på den site man tilmelder sig, under alle omstændigheder til at administrere
de services de selv udbyder.


> Du risikerer også, at
> dit password kan blive misbrugt, hvis databasen bliver kompromiteret ved
> udnyttelse af exploits.

Ja det er naturligvis uheldigt, men er vel mere et problem med dabatasen end
med passordet. Som jeg også skrev til Jakob M. Nielsen, kan der ved
"indbrud" i DB'en misbruges så mange ting at det at selv passwordet bliver
kendt sikkert er det mindste problem.


> Problemet gøres endnu større ved den lille
> detalje, at 92% af alle internet-brugere, der har adgang til flere
> systemer - bruger samme password til allesammen.

Jeps, det vil jeg give dig ret i. Det er en uheldig effekt.
Med venlig hilsen
Lars Hoffmann

---

Lars Hoffmann wrote in news:akncbs$83k$1@newsreader.mailgate.org:

> "Jesper Stocholm" <jespers@stocholm.invalid> escribió en el mensaje
> news:Xns927A6863DD02Fspamstocholmdk@192.38.208.81...
>
>> Du risikerer også, at
>> dit password kan blive misbrugt, hvis databasen bliver kompromiteret
>> ved udnyttelse af exploits.
>
> Ja det er naturligvis uheldigt, men er vel mere et problem med
> dabatasen end med passordet. Som jeg også skrev til Jakob M. Nielsen,
> kan der ved "indbrud" i DB'en misbruges så mange ting at det at selv
> passwordet bliver kendt sikkert er det mindste problem.

det har du ret i - i forhold til den enkelte service.

>> Problemet gøres endnu større ved den lille
>> detalje, at 92% af alle internet-brugere, der har adgang til flere
>> systemer - bruger samme password til allesammen.
>
> Jeps, det vil jeg give dig ret i. Det er en uheldig effekt.

og faktisk er netop denne effekt imo nok til, at man skal være påpasselig
med at tilmelde sig services, hvor ens password opbevares i klart-tekst.
Jeg er administrator for en service på mit uddannelsessted, hvor de
studerende kan tilmelde sig alt muligt mærkeligt. Jeg har fra starten
valgt at lave det, så jeg ikke havde disse passwords i klar-tekst. Jeg
vil nemlig skyde på, at en - ikke uanseelig - del af de tilmeldte bruger
samme password som til uddannelsens systemer. Dermed vil jeg ikke alene
kunne få nyttig information om deres passwords ... jeg vil også - måske -
kaste uheldig mistanke på mig selv, i tilfælde af at en bruges konto
bliver misbrugt herude.

Og slutteligt: jeg er ikke af den opfattelse, at man skal/kan stole 100%
på en administrator. En smule sund skepsis og tilbageholdenhed med at
udlvere oplysninger er imo en god ting at have ...



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|

---

On Fri, 30 Aug 2002 11:01:49 +0200, "Lars Hoffmann"
<lars@intercambiodvd.com> wrote:

>> Hvis dit password ligger som klar-tekst i en eller anden database, så
>> risikerer du altid, at det vil blive misbrugt. Dette kan enten ske af en
>> administrator, der kan "overtage" din identitet.
>
>Korrekt, men vil enhver admin med respekt for sig selv ikke have rettigheder
>til at modificere whatever, således at han ikke har brug for dit password
>for at udgive sig for at være dig.

På mit arbejde (en større dansk televirksomhed) er jeg administrator,
udvikler osv. for noget, der startede som en vagtplan, men efterhånden
er et større kalender-/tidsregistreringssystem. Kun kolleger og ledere
i min afdeling har adgang til de mere følsomme oplysninger, og
adgangskontrollen foregår via user/passwords.

Og hvis verden stoppede her, havde du ret.

Men fx bruger min leder sikkert samme password til sin adgang til
kalenderen som han bruger for at få adgnag til mere følsomme
oplysninger på fx leder-webbet eller i diverse persondata-databaser.
Hvis ikke jeg brugte en hash-funktion til at gemme adgangskoder, ville
jeg formentlig nemt kunne få adgang til informationer, som ikke alle
er enige i, at jeg burde have adgang til.

Hvis nogen får fat i de databaser, min kalender er baseret på, ville
de kunne gøre en vis skade, men skaden vil være begrænset til den
pågældende kalender-applikation. Og vigtigst for mig: Jeg kan ikke
mistænkes for at have misbrugt min leders password. - I hvert fald
ikke i denne sammenhæng

>Jeg antalger at man kan stole på admins
>på den site man tilmelder sig, under alle omstændigheder til at administrere
>de services de selv udbyder.

En dristig antagelse :)

--
Jørn Andersen,
Brønshøj

---

On Thu, 29 Aug 2002 10:15:45 +0200, "Jakob Møbjerg Nielsen"
<jakob@dataloger.dk> wrote:

>Absolut ikke. Der *skal* bruges en envejsfunktion. Den krypterede værdi
>gemmes i DB'en, og når brugeren taster sit password ind, krypterer man
>dette og sammenligner. Det gør at man selvfølgelig ikke kan sende
>brugerens password til en e-mail adresse, men det gør ikke noget, da man
>bare genererer et nyt.

Faktisk er dette også en beskyttelse af administrator, udvikler osv.:
Hvis password var lettere tilgængeligt, ville de folk, der har direkte
adgang til databasen være nogle af de første under mistanke i tilfælde
af et sikkerhedsbrud. Med ovennævnte metode bliver det betydeligt
sværere.

--
Jørn Andersen,
Brønshøj

---

Martin_P wrote in news:bedrmuo570g815tmhi7ao22hf743rl3jha@4ax.com:

>>Jeg synes dog, at du skal lave dit ønskede design om, så du ikke i din
>>database har brugeres passwords liggende som "klar-tekst". Jeg selv
>
> Interessant - har du nogle konkrete eksempler på hvordan det gøres med
> kryptering?? Det ville jeg nemlig gerne bruge

rent "tilfældigt" ligger der en hash-funktion (MD5) på min hjemmeside på
http://asp.stocholm.dk . Hvis MD5 ikke er "stærk" nok for dig, så kig i
kildekoden til MD5 efter det website jeg oprindeligt hentede den fra.
Hvis du bruger .Net, så ligger disse funktioner i System.Security-
namespacet.

En hurtig beskrivelse af setup'et er, at du i stedet for et password
gemmer den hash'ede værdi af passwordet i databasen. Man kan nemlig ikke
(nemt) gå tilbage til det oprindelige password far hash-værdien. Når der
så skal logges ind i systemet eller lignende, så udregner du hash-værdien
af det password brugeren giver, og så sammenligner du hash-værdierne i
stedet for de oprindelige passwords.



--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|