Meebox password

Hej Morten.

Der er ingen grund til at være nervøs. Det er kun dig, som der kan se dit kodeord til dine produkter. Det opbevares krypteret i vores database. :-)

- Patrick.

Man bør *aldrig* på nogen måde kunne se passwordet i klartekst - om det så er bag login eller whatever, betyder det at passwordet er gemt i klartekst, eller i noget der kan omdannes til klartekst (krypteret klartekst). Et password skal hashes, så en potentiel intrængende der har fået fat i databasen *aldrig* vil kunne genskabe det egentlige password.

Stor sikkerhedsfejl.

Rolig nu, gutter. Der er mening med galskaben. Lad mig starte med at slå én ting meget klart fast: Ingen passwords gemmes i klar-tekst i databasen!

Det system vi anvender til vores "Client Area" er det engelsk udviklede WHMCS-system, som i dag er ejet af cPanel.

Grunden til, at systemet kan vise et kodeord i Client Area er, at WHMCS anvender en af WHMCS egenudviklet hashingalgoritme og en krypteringsnøgle som er unik for den enkele installation. Efter signende bevogtes den på nogenlunde samme niveau som Coca Cola's opskrifter... Anyway, det betyder to ting. 1) at vores kunder via deres My Meebox (førnævnte Client Area) kan se deres password til deres cPanel og 2) at det kun er vores installation af WHMCS som kan de-hashe det.

I al almindelighed er jeg meget enig med Jakob Miland, men jeg håber også ovenstående forklarer hvordan det hænger sammen i denne sag.

Vh Anders Eiler,
Teknisk chef, Meebox

Jow.

Det er stadig ikke sikkert at have passwordet stående i ren form på nogen måde. Nogen steder.

Det er stadig ikke sikkert at have passwordet stående i ren form på nogen måde. Nogen steder.

Hvis det kræver login for at tilgå siden, kan jeg ikke se problemet, det er da et større problem hvis de kodeord bliver sendt i en mail som klartekst.

Når meebox skriver "dit kodeord til dine produkter" så antager jeg det ikke er hans kontrolpanel-login, men login til FTP/SQL ect.

Man bør *aldrig* på nogen måde kunne se passwordet i klartekst - om det så er bag login eller whatever, betyder det at passwordet er gemt i klartekst, eller i noget der kan omdannes til klartekst (krypteret klartekst). Et password skal hashes, så en potentiel intrængende der har fået fat i databasen *aldrig* vil kunne genskabe det egentlige password.

Stor sikkerhedsfejl.

Jeg overvejede MeeBox, men pga ovenstående tråd (og andre) valgte jeg en anden udbyder. Det er ikke holdbart at man enten får tilsendt sit kodeord plain/text eller kan se det i "kontrolpanel". Det bør IKKE være muligt for begge parter!

Og en sidenote: MeeBox og andre bruger jo bare noget software, så som cPanel .. Men man kan jo sagtens bruge crypt()

*smil*