šifrování hesel

ak pouzivas md5 v php scripte, tak ti staci mat pre stlpec v tabulke typ varchar. velkost daj asi 50, nie som si isty, ale presne by to malo byt 32 znakov max. no a porovnanie prebehne priamo v scripte, ked si z databaze vytiahnes to kodovane heslo, das ho do premennej napriklad $dbheslo a porovnas s heslom s ktorym chces. takze:

IF ( MD5($heslo) == $dbheslo )
{ECHO "heslo je spravne";}

nieco v tom zmysle. zakodujes heslo ktore ides porovnavat a porovnas ho s tym z databaze

ono totiž ten zašifrovaný řetězec je typu varchar...

Rekl, bych, ze po pouziti fce md5 je retezec nikoliv VARCHAR, ale CHAR a to primo CHAR(32), Leo

Obligatni otazka - co to znamena funguje/nefunguje? Vypiste si proste $heslo, md5($heslo) a $dbheslo a uvidite kde mate problem, neposlal jste dalsi podstatne kusy kodu / napr. jak to heslo ukladate pri registraci, odkud a jak berete $heslo, atd. Leo

Já používám na hesla v md5 VARCHAR(32) a je to bez problémů.

jaký je rozdíl v šifrování pomocí php - md5() a mysql - PASSWORD()?

md5 dělá 32 znaků a PASSWORD 16. Což je podle mě lepší samo s sobě. Používat md5 je lepší i v tom, že když se posílají data do databáze, tak jsou už zakódovaná a když používáš PASSWORD(), tak se kódují až v databázi. Takže když by někdo odposlouchával, tak si v klidu všechna hesla přečte. Teda aspoň takhle to chápu já.

zkus se přes phpadmina podivat jaký máś v tý databázi hodnota u těch hesel a pak to porovnat s tim md5 otiskem.

$dbheslo se ulozi do databaze pres registracni formular. - ale pred ulozenim ho musis logicky zakodovat, coz nepises.. pak by to melo chodit

Já používám sha1 a pro jistotu ještě 2x za sebou ;-)
v databázi je tedy sha1(sha1("heslo")) a při přihlašování mám JS který udělá to samé, takže od klienta se posílá už jenom 2x SHA1 :))) takže kdyby se mi náhodou někdy někdo dostal do databáze nebo do jakýchkoliv LOG souborů na serveru, tak z toho to heslo IMHO nikdy nedostane :)

mitr

Pokud se někdo koukne do db, tak se přeci musí bez problému za kohokoliv příhlasit, stačí si upravit js.

V té bezpečnosti nejde ani tak o to, aby nevěděl heslo, ale aby se tam nikdo cizí nemoh nalogovat... pokud možno i když se nějakým nedopatřením koukne do db.

Když jsme u MD5 je pravda že byla tahle metoda prolomena?

*Čvachta*
To by mě takly zajímalo!! A jak?? Když už jsme u toho.

http://ug.cz/1035

Dneska MD5 údajně na obyčejném stroiji do půl minuty.

hej...jedna sa o to aby pokial ti niekto nabural databazu aby si neodniesol pekne hned pouzitelne nezasifrovane udaje....
kym odkoduje hash,trocha to potrva.... a nie kazdy kto dokaze prelomit databazu dokaze desifrvat hash....ale md5 prelomili.....

*Čvachta*
To je jasné. Je logické, že některé řetězce musí kolidovat. Spíš je problém, že ty kolizní řetězce jdou najít tak rychle. I když, to prolomení nás nemusí zajímat, pokud jen hashujeme hesla. Nejde totiž najít kolidující řetězec k již existujícímu hashi.