Kryptering og login

Det lyder som om du har passwords og brugernavne liggende i databasen, som ikke er krypterede, og når du så kommer med de krypterede udgaver, så kan databasen selvfølgelig ikke finde nogen tupler, der matcher... :o)

ja det har du helt ret i, det skal de måske være :) ?

Jeps! MySQL kan ikke dekryptere en md5-hash. Så vidt jeg husker er det en envejsfunktion, dvs. den ikke kan dekrypteres overhovedet ;o)

Ja, det skal ligge krypteret i databasen...

PS, pænt dumt at kryptere brugernavne...

Morten

rasmusbg -> ja, det er korrekt - MD5 er en checksum, dvs at den ikke kryptere men derimod laver en hash... dette vil sige at den samme tekst altid vil give den samme hash - men der er også ændre tekster der giver samme hash, og derved give dig adgang...

Morten

okay, tak.. Men så siger vi at jeg ikke ændrer brugernavn.. Men hvis man skal ændre password, så skal man vel udskrive den med value=md5($pass) istedet for value=$pass
???

tror ikke du har fanget pointen...

i databasen ligger det krypterede password (dette er en 32bit hexadecimal streng) - når en person skal tjekkes kryptere du det indtastede password og ser om de to krypterede passwords er ens - det giver ingen mening af sætte en value=[en md5 sum] da det bare er en 32bit streng...

Morten

Jo nu har jeg fattet pointen.. Altså man skal tjekke om det krypterede password han lige har skrevet er det samme som det inde i databasen, ikke ??

altså han skriver password i et textfield som så bliver krypteret og samlignes med det krypterede inde i min mysql database

Jeps! Lige præcist :o) Men som dea_pg skriver, så er md5 ikke den bedste løsning, pga. flere forskellige strenge kan give det samme "resultat"

rasmusbg -> tjaa - det vil jo altid være tilfældet når du bruger "hash" - så derfor bruger fx jeg stadig MD5 til mine systemer (er Freelance PHP Programør)

Der er trods alt kun 32^16 mulighedder for forskellige hashes...

Morten

hov - lidt sort sætning den sidste...

Der er 32^16 forskellige mulige hash's - så chancen for at 2 ord har den samme hash er PÆNT lille...

Morten

Dea > Tjoh det er da rigtig...hehe :o)

Dea > Hvorfor ikke bruge MySQL's funktion password() i stedet for at lave en md5-hashing?
Det skal lige siges, jeg ikke aner hvad password() præcist gør ved tekststrengen... ;o)

rasmusbg -> tjoo - læs: http://www.mysql.com/doc/en/Encryption_functions.html

---
PASSWORD(str)
OLD_PASSWORD(str)
    Calculates a password string from the plaintext password str. This
    is the function that is used for encrypting MySQL passwords for
    storage in the Password column of the user grant table:

mysql> SELECT PASSWORD('badpwd');
        -> '7f84554057dd964b'

    PASSWORD() encryption is irreversible. PASSWORD() does not perform
    password encryption in the same way that Unix passwords are encrypted.
    See ENCRYPT(). Note: The PASSWORD() function is used by the
    authentication system in MySQL Server, you should NOT use it in your
    own applications. For that purpose, use MD5() or SHA1() instead. Also
    see RFC-2195 for more information about handling passwords and
    authentication securely in your application.
---

Uddrag: "You should NOT use it in your own applications."

Desuden så ville jeg ikke bruger i databasen, for sæt man udskiftede den på et tidspunkt...

Morten

Dea > Okay. Det havde jeg ikke set i dokumentationen. Men det er bare sjovt så, at det bliver brugt i Horde... ;o)

i skal have tusind tak for hjælpen.. Men jeg tænker stadig på at hvis en bruger skal kunne rette på sit password, kan man så godt få det skrevet ud i rigtigt format, så hvis pass er "pass" så det ikke er en hash's når man skal rette på det ?? håber i forstår hva jeg mener :)

du kan IKKE få det tilbage til tekst når først det er krypteret !!! derfor, lad feltet være blankt, og hvis det stadig er det ved submit så lad være at ændre det, ellers så overskriv det gamle password med md5-summen af det nye...

Morten

Okay, så det er ikke muligt at få det skrevet tilbage til teskt.. Man må nok sige jeg er blevet meget klogere i dag :)

det er det vi her for...

du får lige et svar, så du kan få lukket spørgsmålet (hvis du da er tilfreds)

jo men det er jeg da :)
men kan du ikke edele pointene med rasmusbg ??

Så må jeg da hellere også smide et svar :o)