Ich denke garnicht, sondern nur Hashes... Aber wie ist das GENAU mit der Sicherheit der Kundenpasswörter? Nach dem ich mich bei einem (nicht Gambio) Shop, der mir mein PW im Klartext zuschicken konnte, nach der Passwortsicherheit erkundigte, frage ich mich, wie GENAU dass denn bei GX3 die Passwörter verschlüsselt sind... scheinbar https://developers.gambio.de/docs/3.3.1.0/phpdoc/classes/PasswordHashStrategy.html werden die (nur?) als Hashes (und hoffentlich gesalzen) gespeichert... Also, was ist eigentlich die ausschlaggebende Frage? Ich vermute, 1. Hash-Algorithmus? 2. Bittbreite? 3. Gesalzen? Und wie handhabt's jetzt GX3?
Wir verwenden das hier: http://php.net/manual/de/function.password-hash.php und für ältere PHP-Versionen: https://github.com/ircmaxell/password_compat
Danke... Ist aber beides recht unspezifisch: Dennis' Antwort: Was konkret ist die Verbesserung die mit 3.4 eingeführt wird? Und wie viel weniger sicher sind derweil prä-3.4er Versionen resp. unter 3.4 noch nicht erneuerte Passwörter? Torben's: Der Hinweis auf den PHP-Code hilft vielleicht Programmierern, aber ich bin jetzt nicht wirklich schlauer, ausser dass dort irgendwie salt erwähnt wird... Auch nicht beantwortet ist die Frage, ob ich überhaupt richtig frage. ;-) Was ich suche wäre eine halbwegs umgangssprachlich ausformulierte Erklärung der PW-speicher- Sache von Gambio-Seiten wie: " bis GX3.X sind Passwörter sicher, indem nur gesalzene hashes gespeichert werden, verschlüsselt nach XXX ..." " ab GX3.Y wird die Speicherung noch sicherer, durch den Wechsel auf das modernere XXX verfahren und ..." PS: Vielleicht könnte man, wenn das auf Seite Gambio ein Sicherheits-Experte beantwortet, im gleichen Aufwisch auch etwas zur Frage nach Passwort-Versand per Mail sagen? http://www.gambio.de/forum/threads/...erter-sollten-per-mail-versandt-werden.30392/
Bis 3.3.x wurden Passwörter per md5 gehasht und in der DB gespeichert. Ab 3.3.x wird standardmäßig die PHP-Funktion passwort_hash verwendet, welches in der jetzigen Konfiguration den bcrypt-Algorithmus mit Salts verwendet. Das Ganze ist so konfiguriert, dass sollte in Zukunft ein besserer Algorithmus in PHP verfügbar werden, dieser automatisch vom System verwendet wird.
Aha, danke... Falls man es noch informativer haben will, Zitat aus Wikipedia https://de.wikipedia.org/wiki/Message-Digest_Algorithm_5 Letzteres macht Gambio also gerade... Danke. EDIT: Wobei, hier https://www.php-einfach.de/experte/...-speichern-von-passwoertern-verwenden-sollte/ liest sich die Situation dann doch schon bedrohlicher. Da überlege ich mir glatt, ob ich nach einem Update auf 3.4 nicht alle hashes löschen und die Kunden so zur PW-Reset Funktion zwingen sollte...
Du kannst es einstellen, das PW bei Kundenlogin autom. in das neue Verfahren geändert werden. Sprich jeder Kunde der sich dann einmal einloggt bekommt unbemerkt die neue verschlüsselung. Musst also nix weiter machen, das updatet sich sozusagen von selbst. Aber anders gesagt - wenn einer deine DB gehackt hat sind die PW wohl das kleinste übel. Denn dann war vorher schon was wesentlich wichtigeres zu unsicher
Dennis, da ist etwas, das sich überhauptnicht von aleine löst: Ich will das Problem vermeiden, dass PW's der Kunden, die sich kaum je, oder garnie mehr einloggen, auf immer schwach gesichert bleiben. Und was kann das grössere Übel sein, als dass deine, und die PW's deiner Kunden weg sind?
Entwendete Passwort-Hashes sind überhaupt nur ein Problem für die Leute, die überall das gleiche Passwort verwenden. Aber alle anderen Daten wiegen da schon schwerer. Mit vollem Datenbankzugriff hat man Zugang zu allen Namen, Adressen, Bestellungen, Artikeldaten, Zugangsdaten für externe Dienste (Zahlungsdienstleister, Versanddienstleister) uswusf.
Hmm ja, stimmt, da ist noch einiges mit drin... Aber ich denke doch, dass man das Wohl seiner Kunden an erste Stelle stellen sollte... (Und an Ausreden wie "Sorry wenn du überall das gleiche PW hast" garnicht denken). Auch wenn Marco das nicht so sagt/meint, kann das leicht rausgelesen werden. Aber zurück zum eigentlichen Thema: Was mich noch interessiert wäre die Frage, wie lange MD5-gehashte PW's noch wie sicher sind. Also die oben angetönte Frage, ob es nicht in absehbarer Zukunft irgendwann fahrlässig wird, solche PW's von ungenutzten Accounts noch in der DB zu haben. Ich denke, dass es bei Kunden sogar positiv ankommen könnte, wenn statt der Bequemlichkeit des unbemerkten Updates beim Login eine Meldung erschiene wie Der Updater könnte einfach alle PW-Hashes löschen, und beim Loginversuch mit fehlendem Hash die obige Meldung ausgeben und Reset-Mail auslösen. Und dann eben die andere Sicherheitsfrage, zur (un)sicherheit von gemailten (nicht-einweg-) Passwörtern: http://www.gambio.de/forum/threads/...erter-sollten-per-mail-versandt-werden.30392/
Also um ans PW zu kommen der User muss ein Hacker 1. deine DB knacken 2. die PW entschlüsseln (ok dauert nicht sooo lange) 3. dann rumtesten wo er mit der Kombi Mail/PW sich einloggen kann. da sind wohl die anderen Daten der User schneller verkauft und verwertet - zumal das szenario doch hoffentlich dank guter SIcherheitsmerkale und gutem Passwort unwahrscheinlich ist. Bekannt sind mir jedenfalls nicht viele Datenbank zugriffe bei Gambio /XTC shops. Mit sowas verunsicherst du den 0815 Kunden nur unnötig. Die denken bei sowas direkt an Phishing und Datenklau und nicht daran das du für ihre Sicherheit sorgst. Ich denke das autom. ändern bei neuem login des Kunden reicht völlig aus. Man muss es mit Meldungen und so nicht übertreiben bei den Usern. Wenn wirklich deine Kunden absichern willst schick denen doch nen Newsletter, das ihr die verschlüsselung verbessert habt und sie sich einmal einloggen sollen oder ihr PW ändern sollten alle x-Wochen usw.