27. Februar 2009

FE User Passwörter im Klartext?

in Extension, TYPO3

Nach den Geschehnissen auf typo3.org ende letzten Jahres, weiß man dass man die Benutzerdaten stärker schützen sollte. Grade die fe_user Passwörter werden im Moment im Klartext abgelegt, was man dringend verhindern sollte. Und was natürlich nicht fehlen darf… das Salz in der Suppe!

„Salted Password“ ist da das passende Schlagword. Wikipedia schreibt dazu: „In der Kryptographie versteht man unter dem Begriff Salt (englisch für Salz) eine zufällig gewählte Bitfolge, die mit einem gegebenen Klartext vor der Verwendung als Eingabe einer Hashfunktion konkateniert wird, um die Entropie der Eingabe zu erhöhen.“. Kurz gesagt, es wird eine Zeichenfolge an Passwörter gehangen um den Aufwand einer Wörterbuch Attacke zu erhöhen, wenn der Angreifer die angehangen Zeichenkette nicht kennt.

Nach dem „Angriff“ auf typo3.org wurde daraufhin die Extension TYPO3 Security – Salted user password hashes (t3sec_saltedpw) geschrieben. Diese Extension (noch beta Status weil sehr jung) integriert das „Portable PHP password hashing framework“ (Details) in TYPO3. Diese greift sowohl für BE-User als auch FE-User und erhöht die Sicherheit von TYPO3, wenn man nicht grade ein simples Wort als Passwort benutzt. Somit wären die Klartext Passwörter ein Problem der Vergangenheit 😉

Meine Message ist jetzt nicht, dass ihr gleich alle umsteigen sollt (Es gibt noch einige Dinge zu beachten!!). Aber man sollte sich das Thema einmal kritisch anschauen und ggf. die Extension Testen. Zudem denke ich das Feedback zu der Extension bei Marcus Krause (Security Team) herzlich willkommen ist.

Was denkt Ihr dazu?

4 Reaktionen zu “FE User Passwörter im Klartext?”

Kommentare abonnieren (RSS) oder TrackBack URL

Tim, die Erweiterung verschlüsselt zwar die Passwörter in der Datenbank, aber die Übertragung selbst findet im Klartext statt.
Ohne SSL (das dürften wohl die meisten Seiten sein), ist die Erweiterung daher nicht zu empfehlen!

Jörg am 01. März 2009 um 00:05

Weiss jemand wie es mit kb_md5fepw weiter geht? Die Erweiterung wird im Core berücksichtigt und es gab trotzdem kein Update seit 2006. Sie ist noch mit XClasses bestückt, was in gewissen Situation sehr stören kann. kb_md5fepw bietet eine javascript md5 übertragung, was eigentlich nicht schlecht funktioniert, dafür ist es ein gebastel bis man es mit Registration, Commerce, Login, Passwort Vergessen usw. usf. am laufen hat.

Kann nicht jemand mal eine ‚Encrypt your passwords‘ Tutorial machen, wo wirklich auf alle Aspekte eingegangen wird. (nicht nur wie man es für felogin an macht, sondern für sr_feuser_register etc…)

Jonas am 03. März 2009 um 08:22

Ich habe letzte Tage t3sec_saltedpw bei TYPO3 4.2.6 eingesetzt. Aus irgendeinem unerfindlichen Grund wird das Passwort eines fe_users beim Anlegen oder Ändern im Backend nicht verschlüsselt. Erst beim ersten Login wird es jetzt verschlüsselt.

Desweiteren musste ich die Extension felogin mit den Änderungen von Steffen Kamper (Bugtracker #10017) patchen, damit die „Passwort vergessen“ funktioniert.

Zusammenfassend würd ich sagen, dass der Einsatz von t3sec_saltedpw erst ab 4.3 sinnvoll ist. Außerdem braucht es auf jeden Fall das schon von Jörg angesprochene SSL Zertifikat solange das Passwort im Klartext übertragen wird.

Gruß
Peter

Peter am 04. März 2009 um 15:59

Ich habem ich jetzt noch mal erkundigt und das Projekt sieht wirklich vielversprechend aus. Aber wie Peter richtig sagt, benötigt es doch noch eine gewisse Zeit. Auch für die Javascript Transfer Verschlüsselung…

Jonas am 04. März 2009 um 17:17

Kategorien

Archiv