Newsgroup: it.comp.www.php
Titolo: OT: dimenticato la password?

sě sono decisamente OT, ma non saprei dove poter essere IT :)
mi chiedevo a proposito delle politiche di gestione delle password nei
vari siti.
Quando uno la dimentica entra nel calderone dell'oggetto, ed in generale
ho notato due diversi comportamenti :
nel primo caso :(che va per la maggiore) viene mandata una mail
all'indirizzo dal quale ti sei registrato con dentro la tua password.
nel secondo caso: (poco usato) viene mandata una mail
all'indirizzo dal quale ti sei registrato con un link che ti porta
ad un nuovo form dove poter mettere una nuova password.
Quello che mi chiedo č, cosa succede a monte nel primo caso?
semplicemente la password viene memorizzata in chiaro nel db, e quando la
perdi č subito recuperabile, o ci sono altre tecniche?
Dal canto mio io userei il secondo metodo, in quanto le memorizzerei con
un qualche hashing e quindi non sarei in grado di recuperarle in un
secondo momento.
Oppure non c'ho capito una ceppa e torno a scuola?
-- 
Web marketing & community management:
http://www.insistema.com/

Generalmente viene salvata in chiaro (o criptato) nel db.
Dato che l'email è un dato dell'utente ed è univoco (deve) in quel caso  
funziona da indice per il recupero della password.
easy :)
-- 
blog.luglio7.com


non credo di averti capito, mi stai dicendo che usano un qualche algoritmo
di criptazione reversibile (xor ciclico?) e ci mettono la email per
saltare tutto in padella? 



No, sto dicendo una cosa del genere
SELCT password FROM utenti WHERE email LIKE '
te...@pippo.it
'
:)
-- 
blog.luglio7.com

 SELCT password FROM utenti WHERE email LIKE '
te...@pippo.it
'
ah mbe in questo modo la password deve essere in chiaro!
se no come fanno a ridartela????


 la perdi è subito recuperabile, o ci sono altre tecniche?
La memorizzi crittata.
Quando l'utente se la dimentica ne generi una a caso (per esempio con un 
substr(md5(rand(time())), 8) ), la salvi in DB e gliela mandi per email. 
Poi prevedi un sistema con cui puo` cambiarsela.
 
Bye.

 Poi prevedi un sistema con cui puo` cambiarsela.
Sě questo č il metodo(o una sua variente) del secondo caso che ho
descritto, ed č anche quello che preferisco. Pero' in tanti
posti ti restituiscono bellamente quella che hai inserito te...  :|
Faccio una corsetta nei vecchi messaggi
Ps: ma si dice crittata o criptata?


 Ps: ma si dice crittata o criptata?
Criptata e` piu` latino, crittata e` l'italianizzazione. :)
Bye.

 Oppure non c'ho capito una ceppa e torno a scuola?
beh, non si smette mai di imparare perň a scuola....  ;)

 posti ti restituiscono bellamente quella che hai inserito te...  :|
Ci sono tre casi:
  1- Password memorizzata in chiaro
  2- Password crittata con algoritmo intenzionalmente reversibile
  3- Password crittata con algoritmo intenzionalmente irreversibile
Nel primo caso, sono degli incoscienti totali :-), perché se uno ha
accesso al db, vede subito le password di tutti.
Nel secondo caso, sono comunque degli incoscienti, perché se uno ha
accesso al db e al codice sorgente dell'algoritmo, può risalire alle
password di tutti.
Nel terzo caso, per recuperare la password si usano i sistemi di cui
sopra.
La cosa spettacolare, a mio parere, non è soltanto nel fatto di
memorizzare la password in chiaro, ma anche il fatto di inviarla via
email, cioè su un protocollo in chiaro come SMTP.
Saluti, Giovanni

 sopra.
"recuperare" nel senso di recuperare l'accesso al sito.
La password è (sempre teoricamente) persa per sempre.
Ciao, Giovanni