[PHP & .htaccess] MD5

[Verwijderd]

Ik heb md5 hashes van wachtwoorden in een MySQL database en wil deze vergelijken met de wachtwoorden die worden ingevoerd in een .htaccess scherm. Nu werkt .htaccess met Crypt en ik heb nergens kunnen vinden hoe ik deze op MD5 krijg.

Verder heb ik geprobeerd om met htpasswd -m MD5 hashes te maken in een .htpasswd bestand, maar deze zijn anders dan de hashes die met PHP worden gemaakt dus ook niet vergelijkbaar.

Iemand een idee?

[NMe]

Wat probeer je nou te doen dan? Dat als iemand inlogt, er dan in de database gekeken wordt naar het wachtwoord? Kun je dan niet net zo goed zelf een .htpasswd bestand schrijven met je script op het moment dat je userbase verandert? Ik heb het zelf nooit geprobeerd, maar PHP heeft ook een crypt-functie.

Verder zijn MD5 en crypt in principe beiden one-way, dus je kan niet zomaar het ene gehashte wachtwoord omzetten naar het andere; daar zul je voor moeten brute-forcen.

[Osiris]

Kun je niet gewoon beter een PHP-'only' (met je MySQL-DB ofcourse) 'beveiliging' maken ipv te werken met een .htaccess? Want een HTTP-AUTH-schermpje kun je ook gewoon te voorschijn toveren met wat headers en/of functies in PHP

Check Chapter 34. HTTP authentication with PHP anders maar eens

[ Voor 26% gewijzigd door Osiris op 06-06-2006 22:36 ]

[Verwijderd]

@ -NMe-
Er staan enkel MD5 hashes in de database, niet de wachtwoorden zelf.
Ik kan deze wachtwoorden wel naar Crypt converteren maar dat heeft dus weinig zin.

@ Osiris
Het is voor in een of ander PHPBB achtig forum, ik heb geen zin om daarvan de headers etc aan te passen dat zal een boel slopen.

[NMe]

Verwijderd schreef op dinsdag 06 juni 2006 @ 22:35:
@ -NMe-
Er staan enkel MD5 hashes in de database, niet de wachtwoorden zelf.
Ik kan deze wachtwoorden wel naar Crypt converteren maar dat heeft dus weinig zin.

Natuurlijk heeft dat geen zin, want dan maak je een hash van een hash. Mensen zouden dan in moeten loggen met de MD5-hash van hun wachtwoord. Lijkt me weinig zinvol. Ik zou dus in elk geval eens kijken naar de tip van Osiris, of als je dat niet wil, zelf een .htpasswd schrijven met een script wanneer je een user toevoegt/verwijdert/updatet.