| Autor | Zpráva | ||
|---|---|---|---|
| argonisius Profil * |
#1 · Zasláno: 22. 10. 2009, 14:33:15
Dobrý den, mám v databási zahashované heslo pomocí sha1(). Chtěl bych na stránkách nabídnout možnost odeslání zapomenutého hesla na e-mail. Chtěl bych se zeptat, jestli je nějak možné "dekódovat " zahashované heslo a odeslat ho, nebo jestli to - z bezpečnostních důvodů nejde. Pokud je pravdivá druhá možnost, tak jak se to řeší?
|
||
| Matty Profil |
#2 · Zasláno: 22. 10. 2009, 14:35:09
argonisius:
Nelze (resp. nijak 100%), od toho je to hash. Většinou se posílá nějaké nové, vygenerované heslo. |
||
| Joker Profil |
#3 · Zasláno: 22. 10. 2009, 14:40:02
argonisius:
„nebo jestli to - z bezpečnostních důvodů nejde“ Ne "z bezpečnostních důvodů", ono to nejde z principu. Hash prostě neobsahuje všechny informace o původním vstupu, takže (bez dalších informací) nelze z hashe původní vstup rekonstruovat. Párkrát už jsem tu zmiňoval příklad: Myslím si sudé číslo. Jaké číslo si myslím? |
||
| RockFire Profil |
#4 · Zasláno: 22. 10. 2009, 14:48:45
Joker: 4 :-P
argonisius: Ověříš, zda je to opravdu ten uživatel a na jeho mail odešleš nové heslo. To vygeneruješ např. fukncí rand(). <?php $heslo = rand(1, 1000000000); mail(); //Odeslání mailu s proměnnou $heslo $heslo_v_hashi = sha1($heslo); $uprava_v_db = mysql_query(); //A upravení databáze ?> |
||
| argonisius Profil * |
#5 · Zasláno: 23. 10. 2009, 17:56:52
Je nutné před uložením do databáze ošetřit pomocí funkce mysqli_real_escape_string i takovýto řetězec - kterýgeneruje script a uživatel na jeho výsledek nemá vliv?
|
||
| DJ Miky Profil |
#6 · Zasláno: 23. 10. 2009, 18:01:49
Není to nutné, ale pro jistotu je to lepší, nějaká chyba v PHP se může objevit kdykoliv...
Jinak lepší je pro dočasné heslo zřídit nový sloupec v DB a v platnosti nechat i heslo staré - abys zamezil vtipálkům, kteří by takto mohli měnit uživatelům hesla. Dále je dobré nastavit tomu dočasnému heslu určitou platnost - pokud se s ním uživatel nepřihlásí např. do 24 hodin, pak ho smazat (a nechat to staré). |
||
| Chamurappi Profil |
#7 · Zasláno: 23. 10. 2009, 18:04:06
Reaguji na argonisia:
„Je nutné před uložením do databáze ošetřit pomocí funkce mysqli_real_escape_string i takovýto řetězec“ Tahle formulace je divná. Řetězec se escapuje nikoliv kvůli uložení do databáze, ale kvůli sestavení bezpečného a syntakticky korektního SQL dotazu. Do databáze se neukládá escapovaný. |
||
| argonisius Profil * |
#8 · Zasláno: 23. 10. 2009, 18:25:06
Aha.. myslel jsem si, že je to nějaké "ošetřění" dat.
takže je to potřeba uvádět vždy? |
||
| Majkl578 Profil |
#9 · Zasláno: 24. 10. 2009, 02:40:47
RockFire:
Supr, to bych byl nadšený, kdyby mi přišel mail, že mé nové heslo je "1". :) Raději bych použil nějakou funkci na náhodný řetězec. ;) |
||
| Argonisius Profil |
#10 · Zasláno: 24. 10. 2009, 12:52:40
Tak, myslíte si, že by nevadilo použít klíč v databázi, který už byl uložen kvůli aktivaci účtu znovu pro změnu hesla?
Nechce se mi totiž zanášet databázi dalším sloupcem... |
||
| AM_ Profil |
#11 · Zasláno: 24. 10. 2009, 13:34:02 · Upravil/a: AM_
argonisius:
„takže je to potřeba uvádět vždy?“ Pokud předem víš, že ukládáš údaj, který nebude obsahovat nějaké speciální znaky (především apostrofy ', mezi které se řetězce uzavírají), tak se to dá vypustit, ale na druhou stranu lepší je uvádět to všude, než jednou to neuvést někde, kde je to potřeba. Extrémně důležité je to u uživatelských textových vstupů, protože jinak se může stát, že vychytralý uživatel tvůj dotaz nějak naruší (např. při přihlašování SELECT id FROM users WHERE username='$uziv' AND password='$sha1_heslo' např. ale u sha1 hashovaného řetězce escapování nutné není, samotné sha1 má na výstupu jen alfanumerické znaky, což vylučuje speciální znaky MySQL samo o sobě //edit: Argonisius: „Tak, myslíte si, že by nevadilo použít klíč v databázi, který už byl uložen kvůli aktivaci účtu znovu pro změnu hesla?“ to by bylo asi trochu hloupé, představ si, že aktivační e-mail si necháš v poštovním klientu uložený, a nějaký dobrý kamarád, kterého doma pustíš na internet, ti skrz něj změní heslo. |
||
| Argonisius Profil |
#12 · Zasláno: 24. 10. 2009, 13:46:03
To mě taky napadlo, ale to mám kvůli tomu vytvářet další sloupce?
|
||
| AM_ Profil |
#13 · Zasláno: 24. 10. 2009, 13:51:04
Argonisius:
„To mě taky napadlo, ale to mám kvůli tomu vytvářet další sloupce?“ a proč ne? někdo umře, když ho vytvoříš? |
||
| Argonisius Profil |
#14 · Zasláno: 24. 10. 2009, 14:03:25 · Upravil/a: Argonisius
Myslel jsem, že tím zpomalím chod celé hry (větší objem dat) ...
Co k tomu tedy potřebuju? 1) sloupec pro nové heslo 2) sloupec na aktivační odkaz Ještě něco? |
||
| AM_ Profil |
#15 · Zasláno: 24. 10. 2009, 14:10:40
Argonisius:
MySQL je dobře optimalizovaná, zpomalení nebude žádné nebo zcela neznatelné. Možná by stačil sloupec pro aktivační odkaz, aby žadatel o změnu potvrdil svou identitu, a když na něj klikne, nové heslo mu rovnou nacpat do sloupečku pro heslo a poslat mu jej mailem. |
||
| Argonisius Profil |
#16 · Zasláno: 24. 10. 2009, 14:12:30
Jako vygenerovat? Jo, to by šlo...
|
||
|
Časová prodleva: 15 let
|
|||
0