Wie wird LogControl::get_secure_token(); gebildet?

Thema wurde von Manni_HB, 17. November 2015 erstellt.

  1. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    "$token = LogControl::get_secure_token();" gibt ja einen 32-stelligen Code zurück - Fein!
    Aus was wird der gebildet?

    Mir ist aufgefallen, dass der bei 2 verschiedenen Installationen (2.4.x und 2.5.x), nur in verschiedenen Ordnern, gleich ist.
     
  2. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Naja, ich hab mal reingeschaut, die get_secure_token() bildet einen md5-Key mit mt_rand(). mt_rand() ist ein PHP-Zufallsgenerator.
     
  3. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    Upps - und der erzeugt zwei zufällig gleiche 32-stellige Codes? <Grübel ON>
    Ich dachte schon, da die Domain gleich sind, dass er daraus irgendwas zaubert?!?
     
  4. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Moment! Das mit dem Zufallsgenerator ist etwas frühzeitig ausgeblappert worden!!! So macht er das nur wenn die Variable $t_secure_token in get_secure_token() leer ist. Zuerst nimmt er aus dem Ordner /media die secure_token_******* datei und generiert daraus einen Token. Wenn die bei beiden gleich ist, würde dies den gleichen Code erklären!
     
  5. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    Na also - geht doch! Aber immer erst mal versuchen. :cool:
    Bleibt die Frage: Wieso sind die "secure_token_xxxxx" gleich?
     
  6. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Vieleicht weil du das Shopsystem kopiert hast??? Dann wäre die secure-Datei schon vorhanden und er würde keine neue erstellen.
     
  7. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    ... oder anders gefragt: Wie könnte man einen eigenen Token erzeugen, z.B. um einen Crobjob zu sichern?
     
  8. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Wenn du die secure-Datei löschst, wird eine neue mit eigenem Code angelegt!
     
  9. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    Ich dachte eher an so ebbes wie in "Toolbox - Timer".
     
  10. Anonymous
    Anonymous Erfahrener Benutzer
    Mitarbeiter
    Registriert seit:
    22. Juni 2011
    Beiträge:
    4.760
    Danke erhalten:
    1.749
    Danke vergeben:
    137
    Toolbox→Timer verwendet auch bloß LogControl::get_secure_token(), nur dass das Token dort noch einmal MD5-gehasht wird. :)
     
  11. Manni_HB
    Manni_HB G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    9.098
    Danke erhalten:
    1.540
    Danke vergeben:
    909
    Ort:
    Bremen
    Na gut, dann bleibt ich bei meinem ersten Entwurf.
    Sollte man das noch MD5 verwurschteln?
     
  12. Anonymous
    Anonymous Erfahrener Benutzer
    Mitarbeiter
    Registriert seit:
    22. Juni 2011
    Beiträge:
    4.760
    Danke erhalten:
    1.749
    Danke vergeben:
    137
    Das ist im allgemeinen ziemlich egal, ob du da in so einem Anwendungsfall md5, sha512 oder sonstwas drum tüddelst. :)
    Ich würde aber inzwischen dazu raten, nicht mehr die direkten Funktionen (md5(), sha1()) zu verwenden, sondern lieber hash(). Ist flexibler was den verwendeten Hash-Algorithmus angeht.