Dennis wrote in news:9rlh4k$810$1@sunsite.dk:
> Jesper Stocholm wrote in dk.edb.internet.webdesign.serverside.asp:
>> Dennis wrote in news:9rklc6$sfh$1@sunsite.dk:
>>
>> > wao.......ok........det må tænke lidt over.......takker for hjælpen
>>
>> pointen er, at du ikke gemmer dine brugeres password på din server ...
>> men derimod en hash-værdi af passwordet. Når folk så logger ind, så
>> udregner du hashværdien af det de indtaster som password og
>> sammenligner med det du har i databasen. Da hashværdien af en streng
>> er deterministisk kan du sammenligne hashværdier i stedet for
>> passwords i klartekst.
>>
>> Personligt bliver jeg altid harm over, når jeg opdager, at et website
>> har mit password liggende i klartekst, da de intet har at bruge det
>> til. Det er en stor sikkerhedsrisiko at andre har adgang til dine
>> passwords ... prøv blot at forestille dig, hvis fx din webbank har
>> dit password liggende ... en ond medarbejder vil så kunne logge ind
>> som dig og overføre penge fra din konto ...
>>
> det er rigtigt nok.....men jeg må tilstå og sige at det havde jeg ikke
> tænkt over og jeg er heller ikke klar over hvordan i hulen jeg skal
> gøre, men nu er det ikke en bank jeg styrer men blot en webside hvor du
> kan styrer dine links, så du kan se dem lige meget hvor du er.
>
>
Det er klart, at indsatsen skal stå mål med den gevinst du får ved det. Jeg
er ansvarlig for indholdet af et stud. politisk website på DTU, og jeg har
valgt konsekvent ikke at opbevare passwords i klartekst. Det gør jeg fordi
jeg tror, at folk er som folk er som flest. Det vil sige, at de bruger de
samme passwords til flere systemer. Derfor ønsker jeg ikke, at det i
tilfælde af misbrug af en studerendes konto kan komme til mistanke om, at
det er mig, der har fiflet med noget.
Men selve implementeringen er nu ikke så svær. Det kan skitseres som følger:
Når brugere logger ind, så lagrer jeg en hash-værdi af brugerens password.
Når en bruger har glemt sit password, så laver jeg en tilfældig streng - med
VBs Rnd-funktion - og jeg gemmer hash-værdien af denne streng som brugerens
password ... og markerer det i databasen som "One-time-password". Jeg sender
den tilfældige streng til brugeren. Når brugeren så logger ind, så tvinges
brugeren til at skifte passwordet ud med det samme. Dermed har jeg opnået
ikke at gemme brugerens password noget sted ... og ja - jeg ved godt, at det
sikkert kan graves frem et eller andet sted i Windows ... men jeg har ikke
adgang til disse systemer.
--
Er du også irriteret over, at din lokale grønthandler ikke slår dine varer
ind på kasseapperatet - og dermed undrager sig moms ? Så bed om en bon.
- Jesper Stocholm -
http://stocholm.dk