Sicherheitscheck / Codeoptimierung

Hallo Marcel,

ich habe mal kurz über die Scripte drüber geschaut.

Ich würde die Passwörter (mit md5()) verschlüsselt in die Datenbank abspeichern. Beim Login kann dieser Wert dann verglichen werden mit der gleichfalls durch md5() behandelten Eingabe. So kann z.B. der Administrator die Passwörter nicht lesen

Einen zweiten Verbesserungsvorschlag teile ich dir vorläufig über Email mit

md5() erzeuigt einen Hash von 32 Zeichen Länge, das ist schon recht sicher - du kannst auch sha1() verwenden, dann ist der Hash 40 Zeichen lang

Schwache Passwörter können noch über Rainbowtables entschlüsselt werden. Dagegen hilft ein sogenannter Salt

$password = md5($password . $salt);

Für $salt kannst du einen beliebigen Wert wählen, der über die Laufzeit des Scriptes hinaus aber konstant bleiben muss, damit du die verschlüsselten Werte beim Login wieder vergleichen kannst.

PS: Die von dir in der eMail angesprochene Sicherheitslücke habe ich bereits behoben. Wenn du Lust hast, kannst du es dir ja nochmal ansehen. :)

Das Zipfile ist aber noch nicht aktualisiert? oder du hast diese noch nicht an allen Stellen behoben

EDIT: Kann ich verschlüsselte Passwörter dann auch noch über die eMail unverschlüsselt versenden oder muss erst ein neues generiert werden?

Entschlüsseln geht nicht, in dem Fall muss ein neues generiert werden

Ok, ich hatte übersehen, dass du es in die Funktion string_format() eingebaut hast