Entschlüsseln

[moneygoesfree]

Hi
Hab suchen verwendet aber keine Lösung für mein Problem gefunden.


Über ein Formular werden Benutzerdaten gespeichert und in die Datenbank eingetragen.
Das Passwort wird dabei mit CRYPT_MD5 verschlüsselt.
$passwort_crypted = crypt($passwort,"CRYPT_MD5");

Funktioniert auch alles Problemlos.
Jedoch möchte ich nun eine Funktion einbauen, bei der man sich sein Passwort zumailen kann.
Wie entschlüsselt man das Passwort wieder, so dass es wieder wie bie der Eingabe im Formular ist?

Danke schon mal für die Antwort(en).

[TobiaZ]

Geht nicht!

Du kannst ein neues Passwort generieren lassen, dem User zusenden und dann dem User ein Form bieten, wo er ein neues (merkbares) Passwort eingeben kann.

[TobiaZ]

Steht auch schon im Manual:

crypt -- One-way string encryption (hashing)

[moneygoesfree]

ok danke.

[TobiaZ]

Kein Problem!

[Viper1985]

für was brauchst du dass denn?
ich hab gesehen dass sich dieser crypt wert beim aktualisieren jedesmal ändert...
ich find md5() am besten!

[TobiaZ]

Der unterschied ist nicht groß, eigentlich.

Und ENTschlüsseln kann man beide nicht.

[tj99de]

Wenn Du das Passwort wieder decodieren willst, mußt Du eine andere Verschlüsselungsfunktion wählen, encrypt und decrypt zum Beispiel.
Die sind aber natürlich nicht so sicher ...

[Viper1985]

ja ich weiss schon, aber i frage mich über den sinn von crypt()
es gibt jedesmal einen anderen wert....

[TobiaZ]

Tut es nicht!

echo crypt("Hallo","CRYPT_MD5");

Sonst würde die Passwortabfrage zu o.g. Script wohl kaum gehen!

[TobiaZ]

Was mir noch einfällt:

@ tj99de:
Mit der zusätzlichen mcrypt extension sollte das klappen.

[tj99de]

@ TobiaZ
Versteh ich nicht, was sollte klappen?

[TobiaZ]

die sichere Ver- und Entschlüsselung

[tj99de]

Wieso, sobald eine Verschlüsselung rückgängig gemacht werden kann, ist sie unsicherer als eine Einwegverschlüsselung. Denn was hält jemanden davon ab, sich die Daten aus der DB zu ziehen, aus dem Loginscript die Verschlüsselungsfunktion rauszusuchen und danach die entsprechende Entschlüsselungsfunktion anzuwenden? (natürlich kann sowas nur der webmaster selber machen, aber auch der muß ja nicht umbedingt mein Passwort erfahren ...)
Das wollte ich eigentlich damit gesagt haben.

[TobiaZ]

Dem Webmaster kann es egal sein, weil er sowieso an deine Daten rankommt. Wenn du überall das gleiche PW angibst, ist es ja auch deine Schuld. Außerdem gibt es sowas wie Datenschutz. Daran wird sich idR. gehalten. Zumindest bei uns.

Passwörter sollte man generell verschlüsseln, aber nicht wieder entschlüsseln. Also genau wie es hier gemacht wurde.

BTW: Ohne mcrypt-Erweiterung kannst du deinen String schlecht entschlüsseln.