Fazékhozzászólásai | válasz erre | 2015.09.30 08:54:57 (73303)
szeptember 3. hetében a teljes geocaching.hu, turistautak.hu, stb. site rendszeren új felhasználói belépési jelszó kezelést vezettünk be, így több nagyságrenddel javult a jelszókezelés biztonsága.
A régi rendszerben mindössze 8 karakter hosszú lehetett a jelszó (ha ettől hosszabbat használtál, akkor a végét feleslegesen gépelted be évekig :( ) és sajnos nagyon elavult, egyszerű, nem biztonságos kódolással tárolódtak a jelszavak. A nyári szerver upgrade lehetővé tette, hogy áttérjünk egy sokkal modernebb módszerre.
Technikai részletek: a PHP beépített bcrypt() függvényét használjuk, amiben natívan benne van egy általános jelszókezelő modul, ennek a password_hash függvénye kódolja el a jelszót, és a password_verify ellenőrzi. Jelenleg a bcrypt az alapértelmezett, de majd ha lesz jobb, akkor lecserélik. Ez azért jó, mert nem is kell tudnunk, hogy éppen milyen algoritmus van használatban, a fenti két függvény mindent megold. Bármilyen hosszú lehet a jelszó, bármilyen karaktert tartalmazhat, az elkódolt lenyomat 60 karakterből áll.
Teendőd szigorúan véve nincs ezzel kapcsolatban, de javasoljuk, hogy:
1. Térjetek át az új jelszókezelésre --> egyszer kilépsz a geocaching.hu-n, majd visszalépsz és már kész is. Jelenleg már ~900 felhasználó, anélkül, hogy tudna róla, áttért az új jelszókezelésre.
2. Utána javasoljuk, hogy a szokásos módon, a felhasználói adatok módosításánál változtassátok meg a jelszavatokat. A megváltozott jelszavadat utána az egyéb oldalakon (gckupa.geocaching.hu, turistautak.hu, g:hu, ...) is újra be kell majd írnod.