Ich glaub, ich mach es ähnlich...auf was genau möchtest du hinaus? Auf Loginscripte?

hmm

also ich würde dir empfehlen bei deinem login name und passwort zu überprüfen ob das ganze in der datenbank vorhanden ist und wenn ja sollte dieser datenbankeintrag eine cid beinhalten z.b. u76ui also ne ID die eindeutig ist denn ansonsten könnte es bei doppelten nicks passieren das da jemand in nem falschen account eingeloggt ist !
passwörter bitte MD5 verschlüsselt !

so besteht mein login.
reicht aus dann einfach nur die ID (einmalig) in der session zu speichern.
und diese für db abrufe verwenden

Bei solchen Fragen ist es meist dumm, uns aufzufordern, das Rad neu zu erfinden.
Es gibt schließlich schon jedemenge (vorallem sehr kompetente) Autoren, die sich mit diesem Problem befasst haben:

Beispiele:
http://www.google.de/search?hl=de&newwindow=1&q=php+session+sicherheit&btnG=Suche&meta=
http://de.php.net/manual/de/ref.session.php#session.security
usw.

passwörter bitte MD5 verschlüsselt !

MD5 Hashes lassen doch mittlerweile mittels Rainbow-Tabellen (je nach Länge) relativ leicht zurückführen.

Würdet ihr, wenns um Passwörter geht lieber SHA (WHIRLPOOL!?) nutzen oder seid ihr der meinung MD5 reicht vollkommen?!

Ich hab gehört, dass beide Hashes kombiniert ziemlich hart sein sollen. Kenne mich aber zu wenig mit diesen Verschlüsselungstechniken aus, um da genauere Meinungen abgeben zu können.

Ranbow Tables sind doch "nur" riesige Datenbanken an Hashes.
Die gibt es sowohl für md5 als auch für SHA1. Wegen diesen solltest du dich also nicht für/gegen md5 entscheiden.

Genau, außerdem schützen beide Hashes kombiniert nur gegen Kollisionen, nicht gegen BruteForce (genau das ist Rainbow, nur das es bereits berechnet wurde und in einer Tabelle steht).
Lange Passwörter erzwingen schützt besser vor solchen Angriffen. Außerdem den Datenbankserver und seine Scripte vor Injections und anderen Angriffen schützen (ich weiß, das predige ich ständig), eine Prise Salz und wenn der Login dann noch per SSL geschieht, dann sollte niemand erst an die Hashes rankommen.

md5 lässt sich nicht decodieren. Wenn deine User die Passwörter vergessen haben, ist das normale Prozedere so: Schicke Ihnen ein neues zufällig generiertes Passwort per mail und weise sie darauf hin, dass sie dieses ändern mögen. That's it.

Ansonsten kannst du Sessions für solche Zwecke nutzen, du solltest nur zusehen, dass du bei Formularen und ähnlichem die Sicherheitslücken beachtest.

cya

md5 lässt sich nicht decodieren

Stimmt so halt nicht. Kannst mittels Ranbow Tables auf das Passwort schließen, falls es nicht zu lang ist....

"BennyBunny" schrieb:

md5 lässt sich nicht decodieren

Stimmt so halt nicht. Kannst mittels Ranbow Tables auf das Passwort schließen, falls es nicht zu lang ist....

Das hat nichts mit decodieren zu tun

Deswegen gibts ja auch keine Services, die dir das vergessene Passwort schicken, sondern nur welche, die dir ein neues generieren. (Ansonsten würde ich mir sorgen machen)

Deswegen gibts ja auch keine Services, die dir das vergessene Passwort schicken, sondern nur welche, die dir ein neues generieren. (Ansonsten würde ich mir sorgen machen)

Was technich, unter Umständen, durchaus möglich wäre...

Ja, wenn man die Passwörter im Klartext speichert, sonst ist es nicht möglich (außer über Hash-Tabellen).

Aber wenn man Hashtabellen anlegt, ist jeder Algorithmus zu knacken, also ist das Argument ein sehr schwaches...

Also ich würde dir empfehlen das ganze mit md5 zu machen
und den leuten ein neues kennwort per email zusenden
oder auf einer seite mit ssl neu erstellen zu lassen

=> Natürlich ist es machbar das ganze zu decodieren mit hastabellen etc.
=> die sicherste variante gibt es nie alles was an verschlüsselung erschafft wird kann auch geknackt werden ! ist nunmal so

und noch was anderes dazu wegen kennwort zusenden/erstellen

-bei manchen webseiten/diensten etc. bekommt man es zugesendet das lässt daraus schließen, dass es im klartext in der db steht
-wenn man ein neues erstellen muss ist gut dann ist warscheinlich das kennwort in der db verschlüsselt

MD5 oder SHA1 bieten sich an. Beides sind Hash-Funktionen (Einwegverschlüsselung) die man nicht dekodieren kann. Nur durch raten kann man das rekonstruieren und mit einer Prise Salz kann man auch die lächerlichen Raimbowtables ausschalten.