Sicherheit bei der Anmeldung - Anregung zur DP

[negaH]

Zitat:

Es gibt ja irgendwo eine DB (Datenbank), die speichert deine e-mail Adresse, es sollte kein Problem sein das Passwort und Benutzername zu verschicken, wie es übrigens sehr viele Internetseiten praktizieren.

ich hoffe das die DP dies NICHT so handhabt, ansonsten bin ich weg hier und lösche meinen Account.

Diese Datenbank sollte meinen Benutzernamen, einen MD5 Hash meines Passwortes und allerhöchstens noch meine EMail speichern.

Hat man ein Passwort vergessen so muß das PHP Script folgendes machen:

1.) Benutznamen abfragen und in DB nachschlagen
2.) neues Zufallspasswort erzeugen und als MD5 Prüfsumme in diese DB eintragen
3.) dieses Zufallspasswort an die eingetragene EMail Addresse versenden, nicht irgendeine im Script abgefragte EMail
4.) unter diesem Passwort darf man sich nicht real in der DP einloggen können, sondern nur eine Seite bekommen in der man dieses Passwort ändern muss

Nur so und nicht anders darf es funktionieren. Ich habe nämlich keinen Bock darauf das durch irgendeine andere Lösung die DP meine Passwörter an alle möglichen Hacker verteilt der mein sichtbaren Benutzernamen kennt.

Noch besser wäre es wenn man bei der Anmeldung ein zusätzliches Codewort eintragen muß. Dieses wird dann beim Versenden der neuen Passwörter ebenfalls abgefragt.
Desweiteren wäre es nochmals sicherer wenn in der Datanbank neben dem MD5 Hash noch ein Zufallssalt gespeichert wäre. Bei jedem Login muß dann auf Clientseite dieser Salt bei Server abgefragt werden und dann dieser Salt + Passwort in eine MD5 Prüfsumme umgerechnet werden. Dies verhindert das Hacken der Passwörter falls die DP mal hijackt wird.

Arty, was du also möchtest reduziert die Sicherheit aller Benutzerpasswört auf NULL.

Gruß Hagen