Seite 1 von 1
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Do 4. Jul 2013, 09:03
von SvenKlotz
Gibts Neuigkeitren dazu? Würde mich interessieren ob es mittlerweile eine Lösung gibt?
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Do 4. Jul 2013, 09:12
von e_herrmann
Hi,
es ist geplant, aber noch nicht umgesetzt.
Den aktuellen Stand kannst du hier einsehen:
http://qa.webedition.org/tracker/view.php?id=4572
viele Grüße Elko
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Do 4. Jul 2013, 23:23
von mokraemer
Hi,
das ist ein brennendes Thema bei uns. Wir haben letztens noch mal intern darüber diskutiert und sind auch glaube ich auf einem guten Weg. Wir wollen bei unseren Plänen eben auch dafür sorgen das es so wenig wie möglich Probleme beim Update gibt.
Die Verschlüsselung als MD5 ist nicht sonderlich empfehlenswert, da sich die Hashes sehr leicht rückrechnen bzw. über Wörterbücher finden lassen. Auch mit Salting wird das nur marginal besser. Wir setzen hier schon auf stärkere Verschlüsselungen.
Geplant sind 2 Dinge:
1. Passwörter verschlüsseln
2. ggfs. andere KV-Daten
Wir wollen dabei unterscheiden was durch wen wann einsehbar ist.
Für 1. sind allerdings schon einige Arbeiten nötig: Damit man Passwörter zurücksetzen kann, müssen wir ja ein Tag anbieten mit dem dies möglich ist. Da es dies derzeit nicht gibt, müssen wir noch überlegen wie wir mit den Präsenzen umgehen, die zwar Updates machen, aber ihr eigenes Rücksetz-System haben.....
Ihr seht, das ist nichts was mal eben schnell gemacht ist. Das Thema wird bald kommen - die nächste Version soll v.a. mal den Java-Zwang abschaffen und damit alle Menüs ohne Java lauffähig sein. Ich denke nach diesem Schritt können wir an einigen Themen wieder deutlich entspannter und konzentrierter arbeiten.
Wenn jemand zu obigem Thema konstruktive Vorschläge hat, oder sich an der Diskussion beteiligen will, dann ist er herzlich dazu eingeladen
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Sa 6. Jul 2013, 07:37
von AndreasWitt
... bis das Feature umgesetzt ist, kann man sich wie folgt helfen:
Bei der Verschlüsselung der Passwörter gibt es zwei ebenen: 1. Das Passwort verschlüsseln wenn der Kunde das erste mal in die KV aufgenommen wird und 2. das Passwort verschlüsseln, wenn sich der Kunde anmeldet.
1. lässt sich noch relativ leicht lösen:
Code: Alles auswählen
<we:ifVarNotEmpty match="Password" type="sessionfield">
<?php $_REQUEST['s']['Password'] = md5($_REQUEST['s']['Password']); ?>
</we:ifVarNotEmpty>
<we:saveRegisteredUser register="true" />
Dadurch wird das Passwort vor dem Eintragen in die KV verschlüsselt. Jetzt muss man jedoch dafür sorgen, dass mit dem gleichen Verschlüsselungsverfahren (z.B. md5()) Passwörter beim Login-Prozess verschlüsselt werden.
Ich nutzte dazu z.B. ein webEdition Custom Tag, das noch vor dem <we:sessionStart/> ins Template eingefügt wird. Dieses CustomTag (z.B. <we:cryptCustomerPassword/>) übernimmt dann die Verschlüsselung beim Login oder wenn ein Kunde sein Passwort ändert.
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Sa 6. Jul 2013, 17:23
von mokraemer
Das könnte noch sehr interessant werden, wenn wir da die Umstellung machen wollen....
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: Sa 6. Jul 2013, 19:20
von AndreasWitt
@Marc: ich habe ein Verschlüsselungsverfahren gewählt, das auch in webEdition integriert werden soll, daher sollte die Umstellung kein Problem werden.
Re: Passwörter in der Datenbank verschlüsseln
Verfasst: So 7. Jul 2013, 00:22
von mokraemer
md5? plain? dann können wir auch bei Klartext bleiben.