"passwort vergessen"-script

[Dennis]

ich möcht für eine community-site gern ein script bauen, wo ein user, der sein passwort vergessen hat, dieses anfordern kann. anhand eines mail-adressen-vergleichs kann man das ja machen. nur habe ich die passwörter md5-codiert in der datenbank stehen.
wie funktioniert das grundsätzlich mit dieses automatischen passwort-anforderungen?

[Medialist]

bei md5 kodierten pw kannst du nur mittels generator - script ein neues pw vergeben dieses sowohl in der db speichern als auch per email an den user verschicken.

du kannst sie natürlich auch nochmal uncodiert speichern aber die codierung hat ja gerade denn sinn das keiner ans pw kommen soll der evtl über eine injection zugriff auf deine datenbank nehmen könnte, somit wäre es sehr unsicher

mfg

[Dennis]

stimmt. gut idee.

.vielen dank
.dennis

[Dennis]

hm. allerdings fällt mir grad auf, dass es da durchaus missbrauchspotenzial gäbe. besonders witzige leute könnten für andere das passwort anfordern und sich so nen tollen spass machen.

hab grad mal bei ebay geschaut. die wollen 2 von 3 sicherheitsfragen beantwortet haben. das ist ja aber auch nicht grad sehr originell ...

[Nightflyer]

Eine Sicherheitsfrage reicht völlig

[Medialist]

also sicher könnten das besonders witzige leute machen...

aber dafür bräuchten sie erstmal die email adresse und den usernamen,

baue noch ein captcha ein damit kein brute force möglich ist

trotzdem ginge dann das neu passwort immer noch an die originakle in der datenbank gespeicherte email adresse, die dem original besitzer des kontos gehört.

du kannst auch noch eine "geheime antwort" einbauen, name der mutter, des deutschlehrers, der lieblings CD des haustieres...

mfg

[.felix.]

Einfach in der eMail einen Link mitsenden, der angeklickt werden muss, um das neue Passwort zu aktivieren.
Wenn der User das Passwort selbst nicht angefordert hat, kann er die Mail ignorieren und löschen und sein altes Passwort bleibt aktiv.

[Dennis]

letzteres klingt auch gut. ne neue spalte "vorläufiges passwort" anlegen halte ich für eine clevere idee.

.dannke
.dennis

[Funkey]

ich würds noch anders machen.

Ich weiß gerade nicht die seite, wo ich das gehsehen habe aber das läuft wie folgt ab:

- User fordert neues Passwort an
- User bekommt Mail mit bestätigungs Link (Sicherheitslink mit Schlüssel).
- User kann innerhalb von 24 Stunden auf den Link klicken und sein Passwort direkt in der Seite ändern.

Ich finde das Verfahren angenehmer, da man kein Zufalls Passwort bekommt.

Gruß Nils F.