Passwort: Sicherheit verbessern?

[Henshingly]

Es besteht die Möglichkeit in einer zukünftigen LMO Version (klassischer LMO) die Passwort Verwaltung zu ändern. Dies würde die Sicherheit des LMO's erhöhen.
Bisher werden die Passwörter für die Administratoren und Hilfs-Admins als Klartext in die "config/lmo-auth.php" geschrieben.
DwB hat dieses in Seinem LMO (Responsive Design) schon vor 3 Jahren geändert.

Bei dieser Änderung wird in der lmo-auth.php nicht mehr das Passwort gespeichert sondern der Hashwert des Passwortes. Aus diesem Wert kann das Passwort nicht ausgelesen werden. Sondern bei der Anmeldung eines Administrators wird nur verglichen ob der Hashwert des eingegebenen Passwort mit dem gespeicherten Hashwert in der lmo-auth.php übereinstimmt.

Beim Hashing mit der PHP Funktion password_hash() wird aus dem ursprünglichen Passwort im Klartext ein nicht rückrechenbarer Hash erzeugt. Dieser Hashwert ist immer 60 Zeichen lang, egal wie viele Zeichen das ursprüngliche Passwort hat.

Neben des einpflegen der Funktionen in den LMO (keine große Sache) ist auch für die Benutzer des Liga Manager Online eine Änderung der lmo-auth.php von Hand nötig.

Damit, nach einem Update, die Anmeldung des Administrators wieder möglich ist, muss diese (lmo-auth.php) per FTP geändert werden.
Das geschieht entweder in dem man den Standard Zugang (Nutzername: admin, PW: lmo) dort hinterlegt. Das würde in der lmo-auth.php so aussehen.

Code: Alles auswählen

<?php exit(); ?>
admin|$2y$10$iA0M5y8.LELmsi6DZ5Nh7edO3v0m8CPXBZhYZ497fQ/uADQYqX07C|2||0

Oder man kann gleich die geänderten Anmeldedaten dort speichern. Ich würde dafür ein einfaches Onlinetool (lmo-pwhash.php im Download) zur Verfügung stellen. Das so aussehen würde.

PasswortHash.png

Die Daten, die man dann von Hand in seine lmo-auth.php einträgt, können aus dem Textfeld kopiert werden.
Wichtig ist dabei IMMER das die erste Zeile mit

Code: Alles auswählen

<?php exit(); ?>

nicht gelöscht oder beim kopieren überschrieben wird. Sie muss immer vorhanden sein.
Dazu habe ich nun folgende Umfrage für Euch erstellt. (siehe oben)

Wie immer mit freundlichen Grüßen
Henshingly

[EDIT]
Habe mich dazu entschieden diesen Hack als Addon zum Download freizugeben.

[DwB]

Sehe gerade, dass im Tippspiel die Anpassung noch nicht drin ist und da auch noch mail() verwendet wird für den Mail-Versand und nicht die Klasse PHPMailer().

Muss da nochmal ran wohl...

[Henshingly]

@DwB
Henshingly
Ähmm.....
welcher LMO ist denn gemeint?
klassisches oder responsive Design?

Gruß
Henshingly

[Henshingly]

Da fällt mir grade wieder was ein.......
hatte vor ein paar Tagen für Testzwecke mich auf deinem Test LMO eingeloggt.
Um Zeit zu sparen, ich hatte Testligen erstellt, wollte ich diese dort als Admin herunterladen.
Einzeln kann ich diese herunterladen, aber bei der Auswahl >>Alle Ligen auf einmal downloaden<< bekomme ich nur eine 0 Bytes große Datei geladen.

ligen.png

Gruß
Henshingly

[DwB]

Argh.....danke, da fehlte ein Slash

[DwB]

@DwB
Henshingly
Ähmm.....
welcher LMO ist denn gemeint?
klassisches oder responsive Design?

Gruß
Henshingly

in der tipp-emailpass.php bei mir wird noch mail genutzt.....aber habe hier ja umgestellt auf PHPMailer. Da fehlte der Versand aber noch.

[Henshingly]

@DwB
Henshingly
Ähmm.....
welcher LMO ist denn gemeint?
klassisches oder responsive Design?

Gruß
Henshingly

in der tipp-emailpass.php bei mir wird noch mail genutzt.....aber habe hier ja umgestellt auf PHPMailer. Da fehlte der Versand aber noch.

Beim klassischen LMO auch

[DwB]

Mit dem letzten Commit habe ich nun auch im Tippspiel das Passwort nicht mehr im Klartext gespeichert.

Zusätzlich setzt es nun voraus, dass die Datei mit den Angaben keine .txt-Datei mehr ist, sondern analog zu dem Admin-Daten des LMO als PHP-Datei lmo-tipperauth.php existiert. Hier ist auch in der ersten Zeile der exit. Im Install-Verzeichnis ist daher nun eine .php-Datei vorhanden als auch in der Config-Datei direkt angegeben. Evtl. gibt es später noch eine andere Version, in der man gar nicht die Möglichkeit bekommt, den Dateinamen anders zu wählen oder min. in Code der Präfix ".php" ergänzt wird.

Workaround beim zusenden eines Passwort, sofern man es vergessen hat: es wird ein neues erstellt und gespeichert. Das Passwort hat eine Länge zwischen 10 und 20 Zeichen, bestehend auf Buchstaben und Zahlen. Auch wenn das "relativ" lang ist, empfiehlt es sich trotzdem, das Passwort zu ändern.