|
|
 | Håndtering af password i en MySQL databse.~
Fra : Erik Hansen |
Dato : 02-04-02 15:40 |
|
Jeg er igang med at lave en lille "community" for en bekendt med PHP
og MySQL.
Jeg har lavet en tabel, som indeholder brugernavn og password, samt
lidt andre uvæsentlige oplysninger.
Brugernavn og password er gemt i et varchar, og password er gemt uden
brug af cryptering. Er det klogt ikke at bruge cryptering, jeg tænke
på at webmaster kan jo direkte se password i database.?
Jeg har set på mange "messageboard", at der er en funktion hvor man
kan få den til at sende ens password hvis man har glemt det. Typisk
skal man kun skrive sin e-mail adresse, og password vil blive sendt
til denne e-mail adresse. For at få sådan en funktion til at fungere,
så må ens password da stå i en form for database uden kryptering,
eller hvad.?
....::Erik
| |
 Jens Gyldenkærne Cla~ (02-04-2002)
| Kommentar
Fra : Jens Gyldenkærne Cla~ |
Dato : 02-04-02 15:46 |
|
Erik Hansen <ehh@post1.tele.dk> skrev:
> Brugernavn og password er gemt i et varchar, og password er
> gemt uden brug af cryptering. Er det klogt ikke at bruge
> cryptering, jeg tænke på at webmaster kan jo direkte se
> password i database.?
Hvis du mener at det er et problem, så bør du benytte kryptering.
Det afhænger lidt af hvor følsomme oplysninger der gemmer sig bag
brugernes password.
> Jeg har set på mange "messageboard", at der er en funktion
> hvor man kan få den til at sende ens password hvis man har
> glemt det. Typisk skal man kun skrive sin e-mail adresse, og
> password vil blive sendt til denne e-mail adresse. For at få
> sådan en funktion til at fungere, så må ens password da stå i
> en form for database uden kryptering, eller hvad.?
Ikke nødvendigvis. Du kan dekryptere passwordet på den side der
sender emailen. Men hvis din webmaster også har adgang til dine
php-filer (det har han jo nok) vil han så også kunne dekryptere
passwords hvis han vil. Til "normale" (ikke-følsomme) data er det
IMO godt nok.
--
Jens Gyldenkærne Clausen
MF (medlem af FIDUSO - www.fiduso.dk)
| |
Kim Emax - ayianapa.~ (02-04-2002)
| Kommentar
Fra : Kim Emax - ayianapa.~ |
Dato : 02-04-02 20:56 |
|
"Jens Gyldenkærne Clausen" <jc@dmf.dk> skrev
> Hvis du mener at det er et problem, så bør du benytte kryptering.
> Det afhænger lidt af hvor følsomme oplysninger der gemmer sig bag
> brugernes password.
Jeg har den holdning at skal du ikke bruge et password i klar tekst til
noget, så _krypter det_!
> Ikke nødvendigvis. Du kan dekryptere passwordet på den side der
> sender emailen. Men hvis din webmaster også har adgang til dine
> php-filer (det har han jo nok) vil han så også kunne dekryptere
> passwords hvis han vil. Til "normale" (ikke-følsomme) data er det
> IMO godt nok.
Jeg vil stadig fortrække at man _ikke_ kan dekryptere det, i stedet kan man
generere et nyt og sende til brugeren, som så kan ændre det, når vedkommende
finder "xY4jdk3g" for svært at huske.
Det er et spørgsmål om at tage sikkerhed seriøst!
--
Take Care
Kim Emax
http://www.emax.dk
http://www.ayianapa.dk
Køb din vin online på http://www.gmvin.dk,
Danmarks måske mest avancerede VinWebShop
| |
 Jens Gyldenkærne Cla~ (03-04-2002)
| Kommentar
Fra : Jens Gyldenkærne Cla~ |
Dato : 03-04-02 10:03 |
|
"Kim Emax - ayianapa.dk" <newsgroup@fjerndette-ayianapa.dk>
skrev:
> Jeg har den holdning at skal du ikke bruge et password i klar
> tekst til noget, så _krypter det_!
Fint nok. Jeg har den holdning at hvis der ikke er særligt følsomme
data bag password kan jeg klare mig uden. Hvis jeg havde brug for
at kryptere i et enkelt tilfælde, kan det da godt tænkes at jeg
ville benytte kryptering på alle passwordfelter.
> Det er et spørgsmål om at tage sikkerhed seriøst!
Jeg har det fint med at der er forskel på sikkerheden i min
netbank, min webmail og mine egne applikationer. Sikkerhed er ikke
en absolut størrelse, men noget der kan implementeres på mange
niveauer. Graden af sikkerhed bør tilpasses den enkelte løsning -
det er IMO seriøst.
--
Jens Gyldenkærne Clausen
MF (medlem af FIDUSO - www.fiduso.dk)
| |
M@ds (06-04-2002)
| Kommentar
Fra : M@ds |
Dato : 06-04-02 15:43 |
|
"Jens Gyldenkærne Clausen" <jc@dmf.dk> wrote in message
news:Xns91E5705BB3107jcdmfdk@130.225.247.90...
> Fint nok. Jeg har den holdning at hvis der ikke er særligt følsomme
> data bag password kan jeg klare mig uden.
>
Ja.
Men man skal også tænke på at mange brugere har den uvane at bruge det samme
password flere steder.
Så jeg vil mene at som den ansvarlig webmaster man er, vil man gerne yde
sine kunder den service at opbevare deres password fortroligt. Man har
selvfølgelig ingen garanti for at brugerens password bliver opbevaret
fortroligt af andre webmasters.
Men det er jo ikke god reklame, hvis man bliver hacket og alle ens brugers
passwords bliver tilgængelig på web'et.
Hilsen
Mads B. Tandrup
| |
Thorbjørn Ravn Ander~ (02-04-2002)
| Kommentar
Fra : Thorbjørn Ravn Ander~ |
Dato : 02-04-02 15:48 |
|
Erik Hansen <ehh@post1.tele.dk> writes:
> Jeg har set på mange "messageboard", at der er en funktion hvor man
> kan få den til at sende ens password hvis man har glemt det. Typisk
> skal man kun skrive sin e-mail adresse, og password vil blive sendt
> til denne e-mail adresse. For at få sådan en funktion til at fungere,
> så må ens password da stå i en form for database uden kryptering,
> eller hvad.?
Jeg kan personligt bedst lide den, hvor man får sendt en URL til den
adresse som man har registreret sig under, hvor man inden for den
næste stund kan sætte sit nye password.
Herved er det muligt at gemme passwords krypterede.
--
Thorbjørn Ravn Andersen
http://homepage.mac.com/ravn
| |
Andreas Kleist Svend~ (02-04-2002)
| Kommentar
Fra : Andreas Kleist Svend~ |
Dato : 02-04-02 15:48 |
|
Erik Hansen wrote:
> Brugernavn og password er gemt i et varchar, og password er gemt uden
> brug af cryptering. Er det klogt ikke at bruge cryptering, jeg tænke
> på at webmaster kan jo direkte se password i database.?
Nej, det er ikke videre smart.
> Jeg har set på mange "messageboard", at der er en funktion hvor man
> kan få den til at sende ens password hvis man har glemt det. Typisk
> skal man kun skrive sin e-mail adresse, og password vil blive sendt
> til denne e-mail adresse. For at få sådan en funktion til at fungere,
> så må ens password da stå i en form for database uden kryptering,
> eller hvad.?
Ja og nej, man kan ikke bruge envejskryptering, (f.eks. md5), som må
betegnes som det sikre, men man kan bruge noget kryptering som gør
passwordet umiddelbart ulæseligt. Der er ikke den store forskel, udover at
webmaster ikke lige _kommer til_ at se et password. Men hvis man vil have
mulighed for at sende det til folk er det vist den eneste mulighed.
Alternativt kan man jo give folk der har glemt deres password et
midlertidigt password pr. email, som de så kan smutte ind på siden og bruge
til at ændre deres password efter eget ønske.
--
mvh Andreas Kleist Svendsen
| |
wheeeeeeee (02-04-2002)
| Kommentar
Fra : wheeeeeeee |
Dato : 02-04-02 16:32 |
|
snip
> Ja og nej, man kan ikke bruge envejskryptering, (f.eks. md5), som må
> betegnes som det sikre, men man kan bruge noget kryptering som gør
> passwordet umiddelbart ulæseligt. Der er ikke den store forskel, udover at
> webmaster ikke lige _kommer til_ at se et password. Men hvis man vil have
> mulighed for at sende det til folk er det vist den eneste mulighed.
>
> Alternativt kan man jo give folk der har glemt deres password et
> midlertidigt password pr. email, som de så kan smutte ind på siden og
bruge
> til at ændre deres password efter eget ønske.
Det synes jeg er en god måde. Du gør det at du krypterer passwordet med md5
når den sættes ind : md5($password). Og når man skal logge ind, så tjekker
man om det indtastede, krypteret, er lige med det der er i databasen:
(md5($indtastetpassword)) == $password_fra_database)
| |
-Martin- (02-04-2002)
| Kommentar
Fra : -Martin- |
Dato : 02-04-02 23:57 |
|
On Tue, 02 Apr 2002 16:40:19 +0200, Erik Hansen <ehh@post1.tele.dk>
wrote:
>Jeg er igang med at lave en lille "community" for en bekendt med PHP
>og MySQL.
>
>Jeg har lavet en tabel, som indeholder brugernavn og password, samt
>lidt andre uvæsentlige oplysninger.
>Brugernavn og password er gemt i et varchar, og password er gemt uden
>brug af cryptering. Er det klogt ikke at bruge cryptering, jeg tænke
>på at webmaster kan jo direkte se password i database.?
Ikk så fedt, der er jo nogen der skriver "personlige ting" :)
>
>Jeg har set på mange "messageboard", at der er en funktion hvor man
>kan få den til at sende ens password hvis man har glemt det. Typisk
>skal man kun skrive sin e-mail adresse, og password vil blive sendt
>til denne e-mail adresse. For at få sådan en funktion til at fungere,
>så må ens password da stå i en form for database uden kryptering,
>eller hvad.?
Jeg gør sådan her:
Opret bruger blabla
indskriv password
md5($password);
smid i db'en
Glemt password
skriv din email adresse
md5($midlertidigpassword);
sende mail med et link og nyt password som fx sdkr32dk eller såen
noget
Login ... ændre password .. osv. :)
Håber du forstod det .. .ellers vil jeg gerne forklare nærmere :)
--
-Martin-
| |
Kristian Risager Lar~ (03-04-2002)
| Kommentar
Fra : Kristian Risager Lar~ |
Dato : 03-04-02 13:29 |
|
> Opret bruger blabla
>
> indskriv password
>
> md5($password);
> smid i db'en
Man kan fx vælge at lave md5-summen clientside vha. javascript (
http://www.google.com/search?q=md5+javascript )
Dette øger sikkerheden, da der ikke bliver sendt plaintext passwords med
--
Kristian Risager Larsen
http://www.kezze.dk - mailto:kezze@kezze.dk
"Artificial Intelligence usually beats natural stupidity."
| |
Søren Vrist (04-04-2002)
| Kommentar
Fra : Søren Vrist |
Dato : 04-04-02 22:15 |
|
>Man kan fx vælge at lave md5-summen clientside vha. javascript (
> http://www.google.com/search?q=md5+javascript )
>Dette øger sikkerheden, da der ikke bliver sendt plaintext passwords med
Tjah...Jeg forsøge med den slags, men det gav mig et problem...Hvad
hvis folk så istedet opsnappede en md5 af passwordet....Så er det bare
at slå javascript fra og poste det opsnappede md5 kodede password i
password-feltet ??
__
mvh / Regards
Søren Vrist
spam@vrist.dk
| |
|
|