[PHP/MySQL] Passwords encrypten of niet *

[mahi]

Weer eens een vraagje

Ik ben een simpel content management system in PHP aan het schrijven. De gegevens worden opgeslagen in een (MySQL) database. In die database bevindt zich een Users table waarin de logingegevens van alle users bevinden. Momenteel zijn alle paswoorden md5 encrypted.

Maar... Ik zou graag een paswoord retrieval functie implementeren voor wanneer een domme gebruiker z'n paswoord weer eens kwijt is. Dan hoeft niet telkens een mod dat paswoord te resetten.

Nu is het natuurlijk zo dat je van de md5 hash nooit meer (nou ja, brute force buiten beschouwing) het originele paswoord kunt achterhalen. Dus voor een paswoord retrieval functie moeten de paswoorden unencrypted opgeslagen worden.

Nu vraag ik me af... Is dat wel aan te raden? En zoja, hoe implementeer je zoiets best, rekening houdende met eventuele veiligheidsrisico's? Gewoon geheel unencrypted werken? (login is over SSL, dus sniffers vangen sowieso bot)

[whoami]

Encrypten natuurlijk, en dan ook nog eens one-way. (Decrypten is dus niet mogelijk).

Als iemand z'n passwoord vergeet, genereer je gewoon een nieuw passwoord dat je die persoon toestuurt.

[UniCache2]

Ik zou het gewoon zo houden als het nu is, en dan bij een verloren password, een random wachtwoord maken, deze encrypten en in de database zetten, en de unecnrypted versie naar de gebruiker emailen. Deze kan dan na het inloggen met het random wachtwoord zijn account bewerken en weer zelf een makkelijker te onthouden wachtwoord kiezen

[faabman]

waarom zou je je wachtwoorden encrypted opslaan, vind dat zelf erg veel moeite voor weinig extra veiligheid, als je er voor zorgt dat de database niet bereikt kan worden door anderen dan jezelf is er niets aan de hand (mocht je db ooit gehacked worden dan ben je toch al alle data die je probeerde te beschermen kwijt...)

[DeverauX]

FvKnijff schreef op 12 januari 2004 @ 21:08:
waarom zou je je wachtwoorden encrypted opslaan, vind dat zelf erg veel moeite voor weinig extra veiligheid, als je er voor zorgt dat de database niet bereikt kan worden door anderen dan jezelf is er niets aan de hand (mocht je db ooit gehacked worden dan ben je toch al alle data die je probeerde te beschermen kwijt...)

Ja oke. Maar sommige mensen zijn nou eenmaal zo dom om wachtwoorden te gebruiken die ze ook voor andere doeleinden gebruiken. Zou dus aardig lullig zijn als mede door jou toedoen al deze wachtwoorden op straat zouden komen te liggen.

[Sosabowski]

idd gewoon encrypted opslaan. Juist als je DB op straat komt te liggen wil je niet dat alle paswoorden openbaar zijn. Daarnaast ga ik er als gebruiker van uit dat niemand maar dan ook niemand mijn paswoord kan zien.
Voor de mensen die hem vergeten zijn gewoon een nieuw random paswoord aanmeken en mailen idd

[faabman]

DeverauX schreef op 12 januari 2004 @ 21:12:
[...]

Ja oke. Maar sommige mensen zijn nou eenmaal zo dom om wachtwoorden te gebruiken die ze ook voor andere doeleinden gebruiken. Zou dus aardig lullig zijn als mede door jou toedoen al deze wachtwoorden op straat zouden komen te liggen.

en daarvoor hebben we de disclaimer uitgevonden

wat overigens niet wegneemt dat je gelijk hebt

[xtra]

IorGie schreef op 12 januari 2004 @ 21:14:
idd gewoon encrypted opslaan. Juist als je DB op straat komt te liggen wil je niet dat alle paswoorden openbaar zijn. Daarnaast ga ik er als gebruiker van uit dat niemand maar dan ook niemand mijn paswoord kan zien.
Voor de mensen die hem vergeten zijn gewoon een nieuw random paswoord aanmeken en mailen idd

En eventueel verplichten meteen een nieuwe kan kiezen. Een wachtwoord via mail is eenvoudig te snifferen of op een andere manier te achterhalen.

[bigtree]

* bigtree herinnert zich een eerder topic.

Inmiddels ben ik helemaal voor het hashen / coderen van wachtwoorden. Het enige nadeel (de loginprocedure wordt niet ingewikkelder) is namelijk dat je niet een vergeten wachtwoord zou kunnen mailen. Dan maar een linkje mailen waarmee je een nieuw wachtwoord kan kiezen.

[mahi]

Bedankt voor jullie antwoorden! Encrypted, it will be

Ik zal dan maar een password retrieval functie inbouwen zoals jullie voorstellen: Gewoon een nieuw random paswoord versturen.

Ik moet alleen nog iets bedenken opdat dit systeem niet door grapjurken misbruikt wordt. Voorlopig moet je alleen de username en het e-mailadres kennen om een gebruiker zijn paswoord naar zichzelf te laten mailen. Maar wanneer er random paswoorden gebruikt worden, dan zou een of andere lolbroek zich kunnen amuseren met het veelvuldig opvragen van een nieuw paswoord met de username en e-mailadres van een andere gebruiker zodat die persoon z'n login steeds verandert... Username en e-mailadres zijn namelijk af te lezen uit de gebruikersprofielen (als je ervoor koos je e-mailadres te publiceren).

[Sosabowski]

Op zich is dat natuulijk heel makkelijk te ondervangen door een paar kleine ingrepen.
-IP blokken van iemand dit dat systeem misbruikt
-Alleen toestaan dat er bv 1 x per week het paswoord kan worden ge-reset
- ....wees creatief

[Skaah]

gewoon emdeevijven. Je inlogprocedure krijgt er praktisch niets bij. Een passwordretrievalfunctie waarbij een gebruiker bewijst zichzelf te zijn met bijv. een secret question kan ook gewoon even een nieuw pwd opleveren.

[Harrie_]

wat ik zelf doe is:

- passwords opslaan in md5

- user is paswoord vergeten:
- hij vraagt nieuw paswoord aan hij voert zijn username in bij paswoord vergeten
- ding checkt of username voorkomt in database
- zo ja: zoekt e-mail adres op in database en stuurt een mailtje
- in het mailtje staat een link die er zo uitziet:
blabla.com/paswoordvergeten.php?username=pietje&code=ADFeaw535ADF345aDFa4
- hierin is die code de md5 van het paswoord zoalsie in de database staat
- script checkt of hij een user kan vinden met username = pietje en paswoord = (die md5 string uit de url)
- zo ja: maak een nieuw paswoord aan en stuur dit via e-mail

klaar is kees!

[mahi]

McLatey's idee vind ik wel goed. Bedankt voor de tip

M'n vingers jeuken al (en niet van de RSI ) om dat eens gauw te programmeren!