Sicherheit bei der Anmeldung - Anregung zur DP

[alcaeus]

Hallo Hagen,

Zitat von negaH:

Aha, also gibt es auch anormale Benutzer die dann meine EMail Addresse rausbekommen können. Nun diese "Benutzer" könnten auch als "Hacker" versuchen mein Passwort rauszubekommmen um dann meine anderen Accounts zu hijacken.

ja, diese "anormalen" Benutzer sind Admins und Mods der DP. Ich glaube nicht, dass diese deine eMail-Adresse weiterverkaufen

Zitat von negaH:

Fazit: das Passwort sollte niemals meinen Rechner verlassen, ausserhalb meines Rechners sollte immer nur eine Einweg-Prüfsumme in den Datenbanken gespeichert werden, und das bedeutet das es unmöglich für einen Forenbetreiber sein wird mir mein eigenes Passwort zu mailen. Das ist gut so.

Das wird es ja auch. Zum Beweis ein paar Codeschnipsel:
in login.php:

Code:

if( md5($password) == $row['user_password'] && $row['user_active'] )

in usercp_register.php, beim Setzen des Passworts:

Code:

if ( $row['user_password'] != md5($cur_password) )
//...
$new_password = md5($new_password);
$passwd_sql = "user_password = '$new_password', ";

Also, es wird wie bei jedem phpBB nur der MD5-Hash des Passworts abgespeichert, und beim Login der MD5-Hash des uebergebenen Passworts mit dem gespeicherten Hash verglichen. Ich denke dass ich dir nicht erklaeren muss, dass man ohne Rainbowtables (=Brute Force) das Passwort nicht aus dem Hash rauskriegt.
Beim Senden des Passworts geschieht das hier:

Code:

$user_actkey = gen_rand_string(true);
$key_len = 54 - strlen($server_url);
$key_len = ( $str_len > 6 ) ? $key_len : 6;
$user_actkey = substr($user_actkey, 0, $key_len);
$user_password = gen_rand_string(false);

Anschliessend wird das neue Passwort und der Activation key in die DB geschrieben (das Passwort wiederum als Hash), und der Benutzer muss den Account wieder aktivieren. Anschliessend kann er sich mit dem generierten Passwort anmelden und kann es aendern.
Ich versteh eure Sorge also wirklich nicht.

Zitat von Daniel:

Zusätzlich zu den von Andreas (alcaeus) und Sharky vorgeschlagenen Lösungen kann ich anbieten, eine Javascript-Implementation der MD5-Verschlüsselung ins Login-Script zu integrieren, so dass für die User, die es wünschen, das Passwort nach der Login-Eingabe tatsächlich lokal (!) verschlüsselt und dann nur als Hash zum DP-Server geschickt wird.

Das bringt vielleicht ein kleines bisschen, aber solange keine sichere Verbindung steht, ist das Passwort immer gefaehrdet. Der MD5-Hash wird trotzdem noch unverschluesselt gesendet, und man kann sich anhand des MD5-Hashs in ein Forum einloggen. Nichtsdestotrotz wuerde es ein paar Hackern die Arbeit erschweren, da das Anmelden per MD5-Hash viel komplizierter ist als mit Klartext-Passwort

Greetz
alcaeus