Admin Passwort ungeschützt

[Masterphil]

Nabend an euch alle, zur Zeit werden wieder massiv Leute und Seiten gehackt, auch ich war betroffen, jemand war mal eben auf meinem EF drauf obwohl dieser ein absolut sicheres Passwort hatte. (Schaden für mich war diesmal 0 zum Glück und andere Geschädigte haben ihr Lose zurückbekommen die der Hacker über meinen EF transferieren wollte)

Habe lange überlegt, der Hacker musste mein EF Passwort wissen.

Keylogger ausgeschlossen da ich davor 1-2 Monate nicht im EF war.

Nun schaue ich mal interessehalber in meine DB, Userdaten alle userfreundlich als Hashs gespeichert, , denke ich mir mal nach dem Admin Passwort schauen, im Klartext gespeichert, schaue zur EF anbindung auch Klartext.

Ich denke mal dies ist nicht Sinn der Sache das diese sensiblen Daten im Klartext dastehn.

Wir sollten hier also an einer Lösung arbeiten.

MfG

[Xenon]

So als denkanstoß:
EF Password muss im klartext sein sonst könnte sich das script ja nicht mit deinem pw im ef einloggen und die lose der user transferieren.

Ist das Passwort im md5 hash (o.ä.) ist es für das script unbrauchbar, ist es in einem zurückverfolgbaren hash gespeichert d.h. man kann ihn wieder ins klare umwandeln, bringt es eigentlich auch nichts da, wenn sich ein hacker die mühe macht eine seite zu hacken stören die 5 min für das pw knacken auch nicht.
---------------
Die frage bei dir ist nun, wie kommt er den an die PW's, ist er direkt in die DB reingekommen (wenn ja, wei kommt er an das pw, keylogger?) oder hat eine lücke ausgenutzt wodurch er dies auslesen konnte ?

[Parl]

Ich glaube er meint die Eingabefelder im Adminforce, dort stehen diese in normalen input text Feldern drin. Ich habs bei mir auf input type="password" geändert, funktioniert ja genauso. :-)

Mit den in der db gespeicherten PW's hat Xenon recht, die müssen im Klartext an klamm.de gesendet werden, da müsste notfalls Klamm ne Änderung vornehmen.

[dersepp33]

Wie wäre es denn, wenn das EF-Passwort im Script und nicht in der DB gespeichert wird?

[Masterphil]

Gegendenkanstoss:

Wie bei den Usern wird das EF Passwort nur verschlüsselt gespeichert.

Dann kommt eine neue Funktion welche das Passwort dann wenn Klamm es benötigt halt entschlüsselt und dann an Klamm sendet.

Wenn dies bei den Usern klappt warum nicht auch bei dem EF ?

Und Adminforce Login halt wie bei den Usern, wenn der Admin dann doch sein passwort vergisst, kann man es in der DB ja immernoch mit einem bekannten Hash ersetzten.

Wenn sich nun jemand ins Adminforce einhackt, wie auch immer, der EF aber auch geschützt ist per Hash, guckt der Hacker blöde da er nicht ans EF Passwort kommt, und dieses zu ändern würde ihm nichts bringen.

MfG

[Xenon]

G
Wie bei den Usern wird das EF Passwort nur verschlüsselt gespeichert.

Dann kommt eine neue Funktion welche das Passwort dann wenn Klamm es benötigt halt entschlüsselt und dann an Klamm sendet.

Wenn dies bei den Usern klappt warum nicht auch bei dem EF ?

Wenn ich dich richtig verstanden habe, meinst du dass man das EF Pw als hash speichern sollte wie bei den usern ?
Nein, dass geht nicht, da wenn sich der user einloggt und "12345" eingibt wird es in ein hash gewandelt und mit dem hash in der DB verglichen, die user hashes werden NICHT!!! entschlüsselt, das geht nicht.
Nutzt man ein zurückverfolgbaren hash/ zuentschlüsselbaren hash:

.....ist es in einem zurückverfolgbaren hash gespeichert d.h. man kann ihn wieder ins klare umwandeln, bringt es eigentlich auch nichts da, wenn sich ein hacker die mühe macht eine seite zu hacken stören die 5 min für das pw knacken auch nicht.