Arrays auslesen, Werte zuweisen

Hab jetzt leider nicht die Zeit um deinen Post ausreichend zu entwirren. Nur einige Anmerkungen:

Zitat von osiris

Hallo,
Das für den Nutzer erstellte Passwort wird in der DB als MD-5-Hash aus Passwort+Nutzer abgelegt.
Es soll aber vermieden werden, dass zwei Nutzer das selbe Passwort haben.

Was soll das fuer einen Sinn machen? Und warum hast du nicht einfach ein Feld fuer den Benutzernamen und ein Feld fuer das Passwort?

Zitat von osiris

Ich bräuchte folglich irgenwas wie etwa

PHP

md5($users[x].$pwd) = $hashes2[x]

Das scheint aber so nicht zu funktionieren.

Das funktioniert natuerlich nicht. Auf der linken Seite einer Zuweisung darf ja nur eine Variable stehen.

Im Uebrigen, aber das wird fuer dich zu komplex sein, gibt es die Funktion array_map(), das nur mal als Hinweis fuer andere Leser.

Lieber osiris, ich konnte selbst beim 3784973498. mal Durchlesen nicht verstehen, was du vorhast. Entweder dein Lösungsansatz ist falsch, oder du tust dir einfach nur schwer, dich auszudrücken.

Üblicherweise trennt man Benutzername und Passwort in der Datenbank. Ist das erst einmal getan, kannst du mit der Funktion in_array arbeiten:

$all_pwds = array(...);
do {
    $pwd = md5(mt_rand());
} while(in_array($pwd,$all_pwds));

Jetzt speichert die Variable $pwd ein neues Passwort-Hash.

Zitat von osiris

Das macht es dann aber eben etwas schwieriger nachzuprüfen, ob ein Passwort bereits existiert.

Warum willst du das machen? Mal angenommen die Anzahl der registrierten Benutzer ist relativ klein und einer erhält beim Ändern seines Passworts die Warnung, dass das Passwort bereits verwendet wurde. Dann muss er doch nur noch alle Benutzernamen mit dem Passwort durchprobieren, weil das Passwort garantiert zu einem passt.

-- Stefan

Zitat von osiris

Ein Nutzer, der sich registrieren will, gibt lediglich sein Mailadresse ein. Nutzername und Passwort werden automatisch erstellt und per Mail versandt.
Wenn also ein Passwort schonmal verwendet wurde, bekommt der Nutzer das gar nicht mit.

Was bringt die Überprüfung auf doppelte Passwörter dann? Außerdem wird ja der Benutzer die Möglichkeit haben, sein Passwort später zu ändern.

-- Stefan

Zitat von osiris

Der Nutzer hat in diesem Fall nicht die Möglichkeit sein Passwort zu ändern.

Seltsam...

Zitat von osiris

Die Tatsache, dass kein Passwort doppelt verwendet werden darf, macht es einem eventuellen Angreifer schwerer zu einem brauchbaren Ergebnis zu kommen.

Dafür gibt es Gegenmaßnahmen, die deutlich brauchbarer sind...

Zitat von osiris

Andererseits: Wenn jetzt tasächlich mal ein identisches Passwort erzeugt werden sollte und sich zwei User mit dem selben Passwort anmelden, wäre das ja auch möglich, weil der MD5-Hash trotzdem unterschiedlich ist.

Kapier ich nicht... Warum sollte der MD5-Hash unterschiedlich sein müssen, damit das funktioniert?

Zitat von osiris

Ein Angreifer wüsste also nicht, dass diese User das selbe Passwort haben.

Was weiß der Angreifer in deinem Szenario?

Zitat von osiris

Aber was ist dann, wenn der eine Nutzer zufällig mal den Usernames des andern eingibt, weil die sich z.B. nur an einer Stelle unterscheiden? Da ist dann schon wieder das Problem.

Du solltest vielleicht mal ausrechnen, wie wahrscheinlich es ist, dass das passiert...

Zitat

Welche Maßnahmen würdest du denn hier ergreifen anstatt das so umstänlich zu machen?

• Möglichst keine Einschränkungen für das Passwort (je weniger Einscrhänkungen, desto sicherer kann der Benutzer sein Passwort wählen)
• freie Passwort-Wahl durch den Benutzer. Nur wenn sich der Benutzer sein Passwort selbst aussuchen kann, wird er sich es auch merken. Ansonsten hat er es wahrscheinlich auf einem PostIt am Monitor kleben...

• Bruteforce-Attacken möglicherweise mit Sperren entgegenwirken (Aufhebung entweder manuell oder automatisch nach einer bestimmten Zeit, evtl Kombination mit Captcha)
• Ja nach Zielgruppe evtl die Benutzer daran erinnern, dass sie ihr Passwort wechseln sollen, bzw darauf hinweisen, dass sie ein sicheres Passwort verwenden sollen

Ich habe noch nie erlebt, dass sowohl Benutzername als auch Passwort zufällig generiert werden. Das ist sehr unüblich. Nichtsdestotrotz kann man es folgendermaßen realisieren:

function generate_user() {
    $users = array(...); // Alle Benutzer
    $pwds = array(...); // Alle Passwoerter
    $name = ...; // Neuer Benutzername
    while(true) {
        $valid = true;
        $rand = mt_rand();
        $pass = md5($rand.$name);
        foreach($users as $user) {
            $hash = md5($rand.$user);
            if(in_array($hash,$pwds)) {
                $valid = false;
                break;
            }
        }
        if($valid) {
            return array($name,$pass);
        }
    }
    return false;
}

Diese Funktion wurde unter der präpotenten Annahme programmiert, dein Problem verstanden zu haben. Sie liefert ein Array mit zwei Elementen: Benutzername und Passwort-Hash. Dir sollte aber bewusst sein, dass es einen Aufwand von (Anzahl existierender Benutzer) hoch (Anzahl Haare auf meiner Brust) benötigt und nicht empfehlenswert ist.

PS: Ich bin stark behaart.

Zitat von osiris

Es gibt immerhin etwa 24000 mögliche Nutzernamen

Entweder ich versteh da wieder was nicht, oder das ist irgendwie merkwürdig. 24000 mögliche Nutzernamen?! Also wenn wir mal davon ausgehen dass Benutzer zumindest die 26 Zeichen des Alphabets zur Verfügung haben, und ein Benutzername nur (genau) lächerliche 4 Zeichen lang sein darf, dann ergibt das zumindest mittels meiner bescheidenen mathematischen Kenntnisse 26 hoch 4, also 456976 mögliche Benutzernamen. Das allein wäre schon mehr als 24000. Die Rechnung ist vielleicht völlig falsch, so oder so sind 24000 mögliche Benutzernamen ein Blödsinn, würd ich mal sagen.

Und noch einmal zu den Passwörtern: Es ist ein viel größeres Sicherheitsrisiko, nicht 2x das gleiche Passwort zu erlauben, als andersrum. Es ist einfach so. Und das mit dem Benutzernamen in den MD5-Hash codieren ist ja auch ein Blödsinn. Wenn ein Angreifer bereits Vollzugriff auf die Datenbank hat, dann kann er ja die Benutzernamen selbst auch sehen. Wenn er keinen Zugriff auf die Datenbank hat und zum Beispiel mittels seinem Webbrowser brute force-Attacken durchführt, dann übernimmt das ja euer eigener Code, daß die Benutzernamen in den Hash codiert werden. Etc... Weiß nicht ob ich meine Meinung jetzt klar rübergebracht hab.

Zitat von osiris

Man sollte nicht nur das Passwort alleine verschlüsseln, sondern entweder zusammen mit einen zufälligen String oder einfach dem Username

Das ist soweit ein überlegter Ansatz. Der Grund dafür ist, dass jemand, der die Hashes in die Hand bekommt, diese nicht so schnell mittels brute-force knacken kann.
Es geht dabei darum, dass der Angreifer nicht nur die Hashes, sondern auch die Erzeugung der Hashes knacken muss.
Rainbow-Tables sind für den Angreifer damit faktisch wertlos.
Wobei ich aber nicht viel davon halte, den Hash mit dem Usernamen zu verknüpfen. Es ist nämlich sehr wahrscheinlich, dass der Angreifer, wenn er an die Hashes gleangt ist, auch an die Usernamen herangekommen ist, was den Angriff kaum verzögert.
Ausserdem sollte es sich nicht um einen einzigen String für die gesamte Verschlüsselung handeln. Den könnte der Angreifer wieder relativ schnell herausfinden, indem er selbst einen User (zu dem er dann natürlich das PW kennt) anlegt und dann den String knackt. Dieser String sollte also von bestimmten Kriterien abhängen und am besten bei jedem Hash variieren.
Wenn man es weiter treiben will, dann darf auch ein Angreifer, der sogar an den Quellcode herangekommen ist, nichts nützliches aus diesem herausfinden dürfen.