Wie erstelle ich eine sichere "Passwort-Vergessen"-Funktion?

[Lenchen]

Hallo
Ich frage mich, wie man eine sichere Passwort-vergessen-Funktion hinbekommt. Ich möchte die Passwörter eigentlich nur sehr sehr ungerne unverschlüsselt speichern. Dann wär es eigentlich das sicherste, ein neues, zufälliges Passwort zu generieren und dieses an die E-Mail adresse zu senden und in der db verschlüsselt einzutragen oder gibt es noch eine andere Möglichkeit?
LG Marlene

 

[RaZ0oR]

So würde ich es auch machen.
Eine andere Idee wäre noch, demjenigen einen Link zuschicken zu lassen, mitdem er dann ein neues Passwort selber eintragen kann, somit muss er scih ncih mit dem zufälligen passwort einloggen und dieses ändern und hat sich damit weng zeitgespart.

lg

 

[Asterixus]

Man hat ein verschlüsseltes Passwort in der Datenbank, das kann ruhig so bleiben.

Wenn ein User dann ein falsches Passwort eingibt, erscheint dann:
"haben Sie ihr Passwort vergessen? Wenn ja, bitte hier klicken:
pwvergessen.php?u_id=$user_id_vom_user_der_sein_pw_vergessen_hat"

In der Datei fragst du dann die E-Mailadresse, die in der DB steht. Wenn diese richtig ist, schickst du per E-Mail das neue Passwort an die Adresse, die in der DB steht. Am besten ist, du fügst eine neue Datenbankkolonne der User-Table ein, die `neuespasswort` heißt.
In diese Kolonne kommt dann das neue Passwort unverschlüsselt.
In der Mail wird dann ein Link sein, den man anklicken muss, damit die Passwortänderung bestätigt ist. Außerdem steht in der E-Mail das neue Passwort.
Wenn der Link angeklickt wurde, kommt der Inhalt aus `neuespasswort` verschlüsselt in die eigentlich `passwort`-Kolonne.

 

[Lenchen]

Vielen Dank für eure Antworten. Dann war ich ja doch auf dem richtigen Weg. Es hatte mich nur gewundert, dass ich schon ein paar mal durch diese Funktion bei anderen Seiten mein original-Passwort geschickt bekam... (Ja ich bin vergesslich ;) )

 

[Asterixus]

Vielen Dank für eure Antworten. Dann war ich ja doch auf dem richtigen Weg. Es hatte mich nur gewundert, dass ich schon ein paar mal durch diese Funktion bei anderen Seiten mein original-Passwort geschickt bekam... (Ja ich bin vergesslich ;) )

Diese Seiten benutzen entweder ihr eigenes System um Passwörter zu hashen oder speichern die Passwörter ungehashed in der Datenbank.

 

[Lenchen]

Wozu? Ich seh da keinen Sinn drin.

Vielleicht, damit man sich immer noch einloggen kann, wenn man keinen zugriff mehr auf die eingetragene E-Mail hat und einem das alte PW dann doch plötzlich wieder einfällt

 

[Gelöschtes Mitglied 3007]

man kann passwörter genau so sicher plain in die datenbank schreiben wie als wenn sie gehasht werden und letzt endlich ist die version die sicherste, die du besser umsetzt ;)

 

[Körnerbrötchen]

man kann passwörter genau so sicher plain in die datenbank schreiben wie als wenn sie gehasht werden und letzt endlich ist die version die sicherste, die du besser umsetzt ;)

Kann ich nicht nachvollziehen. Wieso das denn?

@Lenchen: Darum hatte ich meinen Beitrag auch schon wieder gelöscht.^^

 

[Lenchen]

Wenn die Datenbank bombensicher abgeriegelt ist, dann ist das sicher richtig. Aber da ich noch Anfänger bin speicher ich sie lieber verschlüsselt :)
@körnerbrötchen: Das hat sich dann wohl überschnitten