Druckbare Version
Hat schon jemand eine Lösung wie man für Neuregistrierungen bestimmte Passwörter ablehnen kann?
Ich denke dabei an eine durch den Admin pflegbare Liste sehr häufig genutzter unsicherer Passwörter (0000, 123456, Passwort, P@sswort und weitere Perlen der Unsicherheit).
Bei einem Projekt haben wir das Mini Modul im Anhang im Einsatz. Viel macht es nicht: es ist nur eine eigene Regular Expression, die einem dazu zwingt Groß- und Kleinbuchstaben so wie Sonderzeichen oder Zahlen im Passwort zu haben. Bestimmte einfache Passwörter (wie "Password!") würden dennoch funktionieren. Mehr ist daraus leider nie geworden, daher auch nie auf GitHub veröffentlicht.
Für Contao 3 gab es mal eine Erweiterung von Andreas, die wohl Ähnliches machte:
https://github.com/aschempp/contao-securepasswords bzw. https://contao.org/de/erweiterungsli...swords.de.html
Hallo,
ich kann mich erinnern, ein derartiges Modul mal für Contao 3 entwickelt zu haben. Ich kann am Wochenende gerne mal schauen, ob ich es noch finde und ob es vorzeigbar bzw. voll funktionsfähig ist. :-)
Ich hatte zB auch an einen Import einer CSV gedacht.
Ich melde mich dann hier wieder.
Viele Grüße
René
Falls sich da jemand dran setzen will, ich finde die Variante die zB Nextcloud fährt, sehr viel sinnvoller:
Dort wird gecheckt, ob das Passwort bei "haveibeenpwned" auftaucht, und dann entsprechend abgelehnt und mit einem generierten Vorschlag ersetzt.
Wenn schon, dann richtig. :)
Anhang 21913
Das hatte ich gestern in den Heise News gefunden: https://www.heise.de/security/meldun...n-4298700.html
Ob das aber so sinnig ist, wenn da wieder Google dahinter steht?
Habe mir eben mal durchgelesen, was die da in dem Screenshot erklären, bzgl. der ersten fünf Zeichen und dem Hash.Zitat:
Zitat von PaddySD
Was ich nicht verstehe:
Müsste 12345-Passwort1 nicht einen komplett verschiedenen Hash als 12345_2.Passwort ergeben?
Ansonsten fällt mir das hier noch ein :D
http://3.bp.blogspot.com/-2iU9Vfv571...ort-723416.jpg
Du hast den Zwischenschritt vergessen ;)
Passwort -> Hash -> erste fünf Stellen vom Hash an HIBP -> Liste aller Hashes die mit diesen fünf Stellen beginnen -> NC voller Hash gegen voller Hash aus Liste
NC vergleicht nicht das Passwort mit der Liste, sondern den daraus generierten Hash. Sehr sinnvolles System, damit keine Daten irgendwo rumgeschickt werden, die man besser nicht abfragt. :)
Ich hab's auch mal im Code von NC nach geschaut, dass wäre nicht so wahnsinnig schwierig umzusetzen. Ich würde mich an sowas auch dran setzen, dass Problem ist im Moment eher, dass ich mir da vermutlich umsonst Arbeit machen würde, weil solche Funktionen eigentlich in den Core gehören (meine Ansicht).
Hey PaddySD,Zitat:
Zitat von PaddySD
dann schreib den Code doch für den Core und stell einen PR. Ich glaube nicht, dass da jemand etwas gegen hat.
Heißt ja nicht, dass nur eine Hand voll Leute Code für den Core schreiben dürfen ;-)
Viele Grüße
Warum Umsonst? Statt als eigene Extension kannst du das dann ja einfach als PR zur Verfügung stellen.Zitat:
Zitat von PaddySD
Ok, ok, ist ja gut :D :D :D
Sollte man sowas irgendwo bei github vorab kund tun, damit nicht noch wer dran sitzt? Ich kenne das von anderen Projekten her...
Zuerst ein Feature Request Issue machen, mit dem Hinweis, dass du planst das als PR zur Verfügung zu stellen.
Hi Zusammen,
ich habe das mir vorliegende Modul gefunden und mal als Bundle umgearbeitet. Zu finden unter: https://github.com/OMOSde/contao-om-security
Die Listen können für das Backend unter System » Einstellungen zugewiesen werden. Für das Frontend ist es im jeweiligen Passwortfeld zu finden.
- es ersetzt das FormField Password und auch das Widget Password (nicht sicher ob jeweils ein separates FormField/Widget besser wäre)
- es fehlt die Behandlung der Registrierung (ModulRegistration - nicht sicher, wie ich da sauber ran kommen ohne das gesamte Modul zu überschreiben)
- bisher nicht sehr ausführlich getestet (feel free)
- es tritt noch ein Speicherproblem beim Import großer CSV auf (ca. 83000 / 100.000 Passwörter gingen durch)
Die Idee mit "https://haveibeenpwned.com" find ich gut, mal schauen.
Viele Grüße
René
eine readme.md wäre primaZitat:
Zitat von Fehrmann
@PaddySD ist immer noch gefragt :D ;)