Konformes Passwort selbst erzeugen

Hallo,

ich arbeite gerade an einem Authentication Plugin für das phpBB, sodass man sich dort mit seinen Contao Benutzerdaten anmelden kann. Aktuell hänge ich aber noch an der Passwortgenerierung, sprich wie ich ein Contao konformes Kennwort erzeugen kann. So wie ich das sehe brauche ich ja zum einen den encryptionKey und md5... Oder kann ich da auf eine bestimmte Funktion im System zurückgreifen, bin da ehrlich gesagt noch nicht ganz durchgestiegen oder macht es Sinn die Funktion kurz selbst zu basteln?

Hatten wir schon ein paar Mal, das Passwort wird mit SHA1 und Salt erzeugt. Code dürfte irgendwo in der User.php stehen.

Hi Flob,

ich hatte es wie folgt versucht

PHP-Code:

---

        $strSalt = substr(md5(uniqid('', true)), 0, 23);
        $passwordNew = sha1($strSalt . $password) . ':' . $strSalt; 


---

aber das ist ja leider nicht korrekt :-( Muss ich da nicht noch irgendwo den encryption key mit rein bringen? Sonst habe ich ja bei jedem Aufruf einen neuen Hash

Also ich habs zumindest mal bei einem Passwort geschafft den korrekten Wert zu erzeugen ^^^

PHP-Code:

---

$strSalt = "631b.....";
        $pwd = sha1($strSalt . $password) . ':' . $strSalt; 


---

Was mir nur noch nicht ganz klar ist ... Der strSalt der hinten am Passwort dran hängt ist ja bei jedem Passwort untershciedlich, aber wir erzeuge ich den korrekt? Tweise habe ich einfach den Wert hinter dem : in der $strSalt gespeichert und schon passts

Hallo asteireif,

wenn ich den Code in der User.php richtig verstehe ist es wirklich so, dass für jedes Passwort ein neuer Salt generiert wird und zusammen mit dem Passwort (getrennt durch : ) in der DB gespeichert wird.

Dabei wird der Salt so generiert:

PHP-Code:

---

$strSalt = substr(md5(uniqid(mt_rand(), true)), 0, 23);
$strPassword = sha1($strSalt . $this->Input->post('password'));
$this->password = $strPassword . ':' . $strSalt; 


---

Und genau so kannst du es ja dann auch wieder validieren. Nur generierst du dann keinen neuen Salt, sondern nimmst den Salt hinter dem Passwort aus der DB.

Wo hab ich mein Kopf... Angenommen $extpass wäre das in der DB hinterlege PW:

PHP-Code:

---

        $blub = explode(":", $extpass);
        $strSalt = $blub[1];    
        $strPassword = sha1($strSalt . $password);
        $pwd = $strPassword . ':' . $strSalt; 


---

Wenn in der Variablen $password das Passwort im Klartext steht, stimmt es so! ;)

Hallo,

ich habe auch eine solche Funktion, nur bei mir werden Kennwörter mit Umlauten nicht richtig übernommen.

Habt Ihr eine Idee woran das liegen kann?

Danke für Eure Antworten

sorry
aber diese antwort hatte mir hier noch gefählt

PHP-Code:

---

$blnAuthenticated = (crypt(\Input::post('password', true), $this->password) == $this->password); 


---

Weil das bei Google ganz oben auftaucht unter "Contao Passwort generieren" hier die richtige Lösung unter Contao 3:

PHP-Code:

---

Encryption::hash($password) 


---

Gibt es auch eine Möglichkeit mit einem externen PHP-Programm die Passwörter nach neuer Konvention zu generieren? Ich habe immer wieder über 1.000 Mitglieder-Daten in eine Contao-3-Installation zu importieren. Mit der Erweiterung [import_from_csv] geht das leider nur sehr zeitaufwendig und in Teilschritten, da im Gesamten eine Laufzeitüberschreitung folgt. Also CSV zerhacken, Überschriften einfügen, viel klicken etc.

Ich habe mir schon ein kleines Programm zum Generieren der verschlüsselten Passwörter nach der alten Methode (siehe oben) geschrieben. Das funktioniert ganz gut und die Passwörter wandeln sich nach dem ersten Login in die der neuen Konvention um. Nun benötige ich sie aber gleich beim Import in der neuen Konvention.

Kann mir hier jemand helfen?

Du könntest in deinem externen PHP-Programm Contaos Klasse Encryption einbinden und dann mit Encryption::hash($plaintextpassword) arbeiten (siehe #10).

Contao nutzt intern die PHP Passwort API (wenn vorhanden) die seit PHP 5.5 im Core ist.
Und da niemand mehr PHP < 5.6 einsetzen dürfte (weil unmaintained und somit ein No-Go), kannst du das also voraussetzen und dein Passwort einfach so hashen:

PHP-Code:

---

$hashedPassword = password_hash($rawPassword, PASSWORD_DEFAULT); 


---

Hat den netten Nebeneffekt, dass du automatisch den stärksten Hash-Algorithmus verwendest, der in PHP zur Verfügung steht.
Ab PHP 7.2 dürfte das (definitiv ist es noch nicht so viel ich weiss) Argon2 sein, dann kannst du bei deinen Kunden damit prahlen, dass die Passwörter mit einem der stärksten Algorithmen der Welt gehasht werden (https://en.wikipedia.org/wiki/Argon2) :cool:

BTW: Ich muss es loswerden, sorry :) Passwörter "verschlüsselt" man nicht. "Verschlüsseln" tut man Dinge, die man auch wieder "entschlüsseln" kann. Bei Passwörtern betreibt man one-way Hashing und das Ziel ist, dass man es eben NICHT entschlüsseln kann :D