Password hashing

[Bonsai]

Ich würde mir gerne mal das passwort hashing des Shops näher ansehen und eventuell optimieren.

Ich stelle die Optimierung dann auch gerne hier ins Forum.

Wo fange ich da am besten an zu suchen?

Linkback: https://www.modified-shop.org/forum/index.php?topic=34129.0

[p3e]

Hier ging es schonmal darum. Ich denke Salt ist in der aktuellen Version bereits drin aber wenn du weitere Veränderungen planst, hat DokuMan da auch die Dateien aufgelistet, die bei zweigleisiger Passwortnutzung relevant sind.
http://www.modified-shop.org/forum/index.php?topic=10374.0

[Bonsai]

Das reicht mir. Ich schau mal ob ich die phpass einbinde oder nicht ... wäre doch schön, wenn man für Wordpress und Shop den gleichen Login haben kann

[p3e]

Dann schau Dir auch das hier an: http://www.modified-shop.org/forum/index.php?topic=13464.0

[Bonsai]

Suuuuper! Was mich wundert, ist die geringe Resonanz in dem Thread ...

7.79 KB - runtergeladen 86 Mal.

Dann schau ich mir das mal tiefer an.

[p3e]

Hier ist der Download für die aktuelle Version: http://www.modified-shop.org/forum/index.php?topic=13464.msg281709#msg281709

[Bonsai]

Warum ist das eigentlich nicht Standard in Modified?????

Jeden Tag Meldungen wie "Kundendaten gestohlen" ..... wenn die passwörter mit salt und blowfish verwurstelt sind, dann braucht der Hacker Jahre um die Passwörter alle zu knacken ..... und da user üblicherweise so doof sind und genau EIN Passwort für alles zu verwenden möchte ich mit meinem Shop nicht der Grund dafür sein, dass das Paypal Konto meines Kunden geknackt wird .....

[p3e]

1. Das ist meine Rede seit Jahren.

2. Zusätzlich müssen auch die Bankdaten für Lastschrift gekürzt werden, ab dem Zeitpunkt, wo man sie in die Warenwirtschaft (oder sonst wo) übernommen hat. Ansonsten ist man haftbar, wenn die Daten entwendet werden.

3. Und dann gibt es immer noch Provider, die bieten an, die Datenbank einmal pro Woche als Backup per Mailanhang zu verschicken. Unverschlüsselt

Ich denke das Bewusstsein über den Schaden der beim Datendiebstahl entsteht, ist bei vielen Shopbetreibern nicht vorhanden. Auch die Tatsache, dass geschädigte Banken die Datenquelle (also den Shop wo die Daten entwendet wurden) in der Regel findet und das zur Anzeige bringt, ist kaum einem bewusst.

[Bonsai]

Deshalb nehme ich keinerlei Bankdaten entgegen 

[webald]

Warum ist das eigentlich nicht Standard in Modified?????
...
wenn die passwörter mit salt und blowfish verwurstelt sind, ...

Das wissen die Jungs vom Team auch und haben ....

[p3e]

Deshalb nehme ich keinerlei Bankdaten entgegen 

Nimm am Besten keine Kunden an, dann bist Du auf der sicheren Seite