Newsgroup: it.comp.www.php
Titolo: Per chi si fosse perso la password..

Ciao sto facendo un pannello di controllo. Stavo pensando a un sistema per 
assegnare la pass in caso di smarrimento.
Dato che le pass sono memorizzate nel db in maniera criptata.. non posso 
certo inviare il codice hash.. quindi avevo pensato a una creazione di una 
password random e all'invio con mail (salvo andare a un link per 
attivarla)..
Cosa ne pensate? Vi sembra un metodo sicuro? oppure avete idee alternative..
Perchè oggi ho fatto caso che molte volte nei siti ti inviano la password in 
chiaro.. quindi vuol dire che sono memorizzate in chiaro..
ciao
Simone 

 chiaro.. quindi vuol dire che sono memorizzate in chiaro..
O magari cryptate, ma decryptabili...
Come sistema secondo me è buono.
--
Staff 
elive.it
www.elive.it

 wrote:

Come fai a decrittare un md5? voglio dire tanto vale memorizzarle in
chiaro.. 
-- 
Simone aka Hellboy
Reply to: 
simotessa(at)hotmail(dot)com

 Come sistema secondo me è buono.
Se ha gia' un database utenti/password, dovrebbe riconvertirlo tutto 
(anzi nn potrebbe xke' ha solo gli hash criptati).
L'hash delle password (sha, md5 e similia) nn permette decriptazione 
poiche' si limita a "digerire" i dati.
Dovrebbe implementare o usare funzioni di crittografia simmetrica, 
l'unico problema diventerebbe tenere segreta la key, e l'algoritmo 
usato; infatti se uno avesse possibilita' di avere sia la criptata che 
la chiara potrebbe teoricamente (ammesso che ci riesca) trovare la 
relazione che intercorre tra esse... siamo gia' OT.
Ad ogni modo, l'accesso a questi dati sensibili, chiari o criptati che 
siano dovrebbe essere sicuro.
Se si continua ad seguire la linea di hashing 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
                                     (quella che consiglio) non si 
potra' usufruire della password recovery (come gia' detto dall'autore 
del post), ma si potranno generare delle password (magari dopo aver 
risposto a una domanda segreta onde evitare abuso di questa funzione) e 
recapitarle all'interessato (senza troppi passaggi e abilitazioni).
-- 
2T STUDIO - Web e Grafica per il tuo eBusiness
   [web]   
http://www.2t-studio.com
	- Sviluppo Siti Web
	- Servizi di grafica pubblicitaria ed editoriale
	- Consulenze SEO (Posizionamento motori di ricerca)
	- Soluzioni ebusiness
   [Email] info [at] 
2t-studio.com

 chiaro..
Attento rispondevo al tuo assunto secondo il quale "molte volte nei siti ti
inviano la password in chiaro... quindi vuol dire che sono memorizzate in
chiaro"
Io ti rispondevo che la memorizzazione della password non per forza deve
essere in chiaro, ma potrebbe passare da un algoritmo apposito di crypt.
Ovviamente per conoscerla in chiaro deve essere presente anche l'algoritmo
di decrypt.
Non ho nominato MD5 e non lo userei nel modo + assoluto SE volessi fornire
un sistema di invio della password utente in caso di smarrimento.
--
Staff 
elive.it
www.elive.it

 chiaro.. quindi vuol dire che sono memorizzate in chiaro..
O magari cryptate, ma decryptabili...
Come sistema secondo me č buono.
<!-- END -->
--
Staff 
elive.it
www.elive.it

chiaro.. quindi vuol dire che sono memorizzate in chiaro..
Non sono necessariamente memorizzate in chiaro.
Il sistema manda all'utente una password generata a caso (tipo
dsfkòos) e poi quando fa l'update della tabella utenti per aggiornare
la password la cripta.
Comunque aggiungerei anche la possibilitè per l'utente di modificare
la password (come gli altri suoi dati personali).
Ciao
Matteo
------------------------------------------
Un po' di là dal mare c'è una terra chiara
che di confini e argini non sa
------------------------------------------