LiquidFeedback/Themendiskussion/388

Frage an NineBerry: Gehörst du zum Kreis der Entwickler oder hast du nur den Code reviewed?

Ich gehöre nicht zu den Entwicklern. Ich habe mir den Code angeschaut. Die Verwendung der Hashes im Frontend ist eindeutig. Auch im Core kannst du in init.sql beim Passwort des Administrators sehen, dass ein Hash gespeichert wird. Die Daten in Demo.sql sind u.U. veraltet. --NineBerry 00:35, 30. Aug. 2010 (CEST)

Anregung : Passworthashing gehört nicht ins Frontend

Anstatt das zu fordern, was schon ist, soll das gefordert werden, was gewünscht ist, nämlich dass Passworthashing da gemacht wird, wo es hingehört. Im Backend, sprich Core.

Das Passworthashing in den Core zu verlegen, würde die Sicherheit der Passwörter nicht verbssern, sondern verschlechtern. Erstens gibt es so ein System mehr (das DBMS), das die Passwörter im Klartext zu sehen bekommt. Zweitens beherrscht das DBMS (postgre-sql) eventuell keine so guten Hashingmechanismen wie die Unix Crypt-Funktion. Drittens würde damit die im Originalantrag genannte Gefahr bestehen, dass Passwörter im Klartext in SQL-Logs auftauchen. Ergo: Hasherzeugung im Frontend ist besser als im Backend. --NineBerry 00:35, 30. Aug. 2010 (CEST)