passwort zum ändern in passwortfeld eingetragen - wie gehts?

[TobiaZ]

OffTopic:

---

weils nichts mit dem "Thema" zu tun hat!

---

auch lustig, erst sorgt der tomsig mal wieder für aufruhr und meldet sich dann nicht mehr. interessiert der sich gar nicht für die antwort

[Abraxax]

interessiert der sich gar nicht für die antwort

wozu? es ist doch keine umfrage dabei ...

[TobiaZ]

[tomstig]

naja...

ich les hier passiv mit, denk mir wieder meinen teil über dies und das... so: also die erste antwort von tobiaz war noch die sinnvollste, der rest ist zum vergessen... ich hab mirgedacht, dass er irgendeine codierung verwendet hat, die man wieder encodieren kann, also nicht md5()... aber anscheinend ist dem nicht so...

ursprünglich wollte ich eh posten, aber es war ja ständig *close*....

[MelloPie]

son quatsch wenn Du Dein password auslesen willst aber nicht im klartext speichern dann benutz doch encode und decode funktionen

[Damian1984]

er vergleicht die Md-checksumme des eingegebenen PWs mit der Checksumme, des in der DB vorhanden! Ist doch simpel...

Funtzt doch wie ne normale PW-Abfrage... *smileyhabenmag,dersichselbstaufdenKopfmitHammerschlägtundAugenverdreht*

[kapitaeniglo]

@damian1984 :

das glaub ich net ...
weil auf dem bild sieht man nicht , dass man auch das alte passwort eingeben muss (oder meine augen sind schon so muede ... )

es ist wahrscheinlich so wie es wahsaga gesagt hat ...
er haut das neue passwort ueber ein update ueber das alte und das wars ...
die idee find ich ja net so dolle, weil mal angenommen, dass macht man auf ner seite, auf der man sich auch ueber cookies einloggen kann, dann koennte jemand einfach mein Passwort aendern, wenn ich so dumm waer und ihn an meinen pc lassen wuerde ....

OffTopic:

---

mist ... waer ich hier frueher schon gewesen, haette ich richtig gut mitspammen koennen ....

---

gruss
iglo

[TobiaZ]

gleiches würde auch passieren, wenn es über sessions läuft, und ich die ID weitergebe. Okay, beides setzt eigene Dummheit vorraus, aber gerade dem sollte man vorbeugen.

Passwörter gehören wie gewohnt als MD5 oder anders "verschlüsselt" und dann nur Hash-Vergleich.

[tomstig]

ja und das wollte ich wissen...

weil ich hab gedacht, dass er so wie jeder anderer das mit md5() verschlüsselt und dann es irgendwie geschafft hat, es wieder normal in das feld zu schreiben... aber dem ist anscheinend nicht so, sondern er hat es wahrscheinlich gar nicht verschlüsselt...

(gott sei dank hat dieses thema noch ein happy end gefunden )

[TobiaZ]

dass man MD5 nicht zurückverschlüssen kann, weiß man eigentlich, bzw. kann man leicht rausfinden.

Außerdem hättest du dein "happy ending" auch durch ein sinvolles und vorallem konkretes Post bekommen können. Viel schneller!!!

[MelloPie]

klar kann man decoden und encoden wenn man eben nicht md5 benutzt

ausserdem kann man auch md5 zurückdecodieren da gibts auch tools mit denen man zumindest ein passenden wert bekommt das braucht halt etwas lange aber prinzipiell kann man das auch knacken.

[TobiaZ]

gegen encode hab ich ja auch nichts gesagt. wobei ichs für aufwediger halte.

Naja, mit dem "zurückdecodieren" von MD5 ist das so ne sache. Da ja die meisten MD5 verwenden, kann man mit einem solchen Passwort vermutlich auch die meißten Accounts benutzen (nicht wenige leute nutzen überall gleichen Nutzernamen/Passwort). Bisschen was anders ist es dennoch, weil es eben nicht das gleiche Passwort ist, sondern nur ein Quellstring, der den selben hash erhält.

[MelloPie]

ja klar aber wenn md5(x) == md5(y) ist ist das dem ders es crackt egal :-)
is ja auch nicht so wichtig das Jahr is eh rum und nächstes Jahr soll md5 durch md6 ersetzt werden da warte ich schon drauf...

[TobiaZ]

Das ist wohl wahr. und da wie gesagt viele programmierer damit arbeiten, ist es noch schlimmer.

gibt ja auch noch SHA 1 (2?) Aber da herrscht vermutlich die selbe Problematik?

[tomstig]

Original geschrieben von TobiaZ
"happy ending"

happy ending ist english, happy end ist eingedeutschtes happy ending...