Passwörter in einer Datenbank speichern

[etreu]

Wie sicher ist das?

Wie (Variablentyp) mach ich dass am sichersten/besten?

[HolzOnkel]

...so sicher wie dein Verschlüsselungsalgorytmus.

Am einfachsten ist es, das Passwort mit Hilfe einer Formel in eine Zahl umzuwandeln. Da kannst DU zwar nie wieder rausrechnen, wie das Passwort vorher hiess, aber Du kannst es in eine Double reinsetzen.

Gruss,

der Onkel

[hades]

@HolzOnkel:

Es stimmt schon, das Passwort ist immer so sicher wie Dein verwendeter Algorithmus. Aber Du brauchst auch einen Decodier-Algorithmus, die das Passwort wieder rauslesen koennen.

Sonst sind gespeicherte Passwoerter sinnlos.

Eine allgemeine Aussage ueber den Datentyp fuer Passwoerter gibt es nicht.

Meist reicht varchar aus.

[HolzOnkel]

Wieso sollte ich denn bitte das Passwort wieder entschlüsseln? Ich rechne einfach das eingegebene Passwort wieder in eine Zahl um und vergleiche das mit dem Eintrag in der Datenbank... funzt tadellos...

Gruss,

der Onkel

[hades]

Auch dein Umrechnen ist genau genommen ein Decodier-Algorithmus, hier als Sonderfall, dass der Codier- und Decodier-Algorithmus gleich sind.

[HolzOnkel]

Sorry, da mus sich jetzt widersprechen...

Decodieren würde bedeuten, dass ich das verschlüsselte Passwort wieder in "Reinform" erlange. Das ist mit meiner Methode gar nicht nötig.

Es gibt mehr als genug Methoden der verschlüsselung, nach denen es unmöglich ist, das ursprüngliche Paswort wieder heraus zu bekommen - was auch sinnig ist, sonst wäre es sinnlos, so manches Passwort überhaupt erst zu verschlüsseln...

nicht umsonst geht man an vielen Stellen dazu über, nicht das alte Passwort auszulesen, sondern ein neues darüber zu schreiben. Sonst käme noch der Admin in Versuchung.. :OD

Gruss,

der Onkel

[hades]

Wir schweifen so langsam aber sicher von den Ausgangsfragen ab.

E-Ts Frage war nicht der Vgl. der Moeglichkeiten der Verifizierung von Passwoertern,

sondern ob eine Speicherung von Passwoertern in einer DB sicher ist und welcher Datentyp dafuer geeignet ist.

Wir sollten ihn/sie erst mal zu Wort kommen lassen, vielleicht ist eine der Fragen schon beantwortet.

Gruss

[etreu]

Ist schon, gut.

Ich verfolge die Beiträge mit regem Interesse.

[HolzOnkel]

..worauf ich mich nur wieder wiederholen kann:

Der Datentyp ist abhängig vom Verschlüsselungsalgodingenskirchens. (Langes Wort, das.)

Geht eigentlich mit viel - universell ist sicher char oder varchar, für die Freunde des Überteibens auch der Blob/Text... Longint geht auch... je nachdem, was Du als endergebnis der verschlüsselung abspeicherst.

Wenn Du Interesse an Verschlüsselungsalgorythmen hast, dan schick mir hier einfach ne Message...

gruss,

der Onkel

Nachtrag:

Sicherheit ist relativ. Natürlich kann jeder mit ein bisserl SQL-Erfahrung dann die entsprechenden Felder auslesen. Aber wenn Du das Passwort verschlüsselt abspeicherst, helfen sie aber auch niemandem, der den verschlüsselungsalgorytmus nicht kennt.

[Tool-Time]

Was bringt mor den der Verschlüsselungsalgorytmus von Mysql ?

Ich kann die Daten ja als Funktion

Password speichern, sprich Mysql- wandelt diese selber um -

oder wie ?

Hoffe es passt hier zu .

Bis denn Tool-Time

[etreu]

Hört sich ja erst mal richtig gut an.

Mal bitte ne genauere Beschreibung.

[HolzOnkel]

Hmm... den Feldtyp "Password" kenne ich persönlich gar nicht...

:confused:

Bin mit MySQL nur in Verbindung mit PHP in Berührung gekommen, und in PHP gibt es einen Verschlüsselungsalgorythmus, mit dem man das Ergebnis einfach in ein CharFeld reinklatscht. So hab ich das immer gemacht.

Kann natürlich durchaus sein, dass es da was anderes gibt, was besser funzt... vielleicht sagt das mit dem datentyp "Passwort" einfach nur aus, dass das Feld nicht einfach ausgelesen werden kann oder sowas...

*schulterzuck*

Gruss,

der Onkel

[Wolle]

Original geschrieben von HolzOnkel

Hmm... den Feldtyp "Password" kenne ich persönlich gar nicht...

Ist auch kein Feldtyp, sondern ne Funktion... Kann aber in SQL-Anweisungen eigesetzt werden:

Update Tabelle set Passwortfeld=password('Passwort') where....

MySql verschlüsselt dann den Begriff "Passwort"

[Tool-Time]

Ich Verwalte den Mysql-Server per phpMyAdmin und dort gibt es folgende Möglichkeit:

als Ergenis steht dann in der Tabelle :

• id= 4
  
• name= test
  
• passwd = 378b243e220ca493
  
• bereich = test
  

=> Hinweis nicht wundern dass das Feld id leer bleibt, das liegt daran weil es mit auto_increment angesteuert wird.

Sprich die Mysql-Datenbank zählt immer plus 1 egal ob ich was löschen

Ich habe nur noch nicht so ganz verstanden was ich nun machen muß damit im Script das original steht -

es kann sein das es mit md5 Verschlüsselt ist - nur so eine Vermutung (siehe meinen andren Thread mit ähnlicher Frage : PHP/Mysql und Passwörter

Wie hast du es dein bisher mit den Passwörtern gehandhabt ?

Bis denn Tool-Time

[etreu]

Sind meine ersten Gehversuche mit PHP und mySQL sowie Passwörter in Datenbanken.

Aber dein anderer Thread war sehr aufschlussreich. Ich danke

[BlearSun]

Die Codierungsmethode find ich persönlich am geeignetsten.

So bleibt man auch Datenbankunabhängig. Von Datentypen wie "Passwort" und des gleichen halte ich nciht viel. Denn wenn ich irgendwann von MySQL auf Access oder irgendein anderes DBMS umsteigen will, werde ich grosse Probleme haben.

Am besten ist, die Sicherheit in eigenen händen zu nehmen und dafür zu sorgen, dass die Passwörter in ein "unlesbares" Format codiert werden.

Das Ergebnis wird in ein Feld mit Standard-Datentyp wie varchar oder Double usw. gespeichert und somit kann ich ohne Bedenken, meine Datenbank wechseln.

Gruss

Blear

[TheManWho]

Um das Thema mal wieder aufzukochen:

Ich habe auch vor, Passwörter in einer Oracle-Datenbank zu speichern. Gibts da spezielle Möglichkeiten/Funktionen, wie ich diese Daten verschlüsseln kann?!

Würde mir sehr helfen, wenn Ihr mal schreibt was Ihr da so drüber wißt.

THX