jo mit md5 wäre wohl das besten. Da fällt mir ein bei wikipedia hab ich gelesen das das md5 mal von irgendwem entschlüsselt worden ist. Mit nem Hochleistungsrechner usw. könnt es euch ja mal durchlesen

Mister Ad

hm, die ein-tabellen lösung gefällt mir nicht so, weil du dann entweder sinnlos eine spalte mit zufallszahlen rumschleppst, oder, wenn du es in nur einem feld machst, du einen viel zu großen wertebereich brauchst um dann am ende nur ne 1 drin zu speichern. lieber zwei tabellen.
btw: md5 kann man nicht entschlüsseln sondern nur gleichwertige schlüssel finden (meines wissens nach)

sc911

MD5 (Message Digest Algorithm 5) ist eine weitverbreitete kryptografische Hashfunktion, die einen 128-Bit-Hashwert erzeugt. MD5 wurde 1991 von Ronald L. Rivest entwickelt. Im August 2004 wurden ernsthafte Sicherheitsmängel in MD5 entdeckt, und viele Systeme, die MD5 verwenden, werden möglicherweise auf sicherere Alternativen umsteigen.

und

MD5 ist ein Vertreter aus einer Reihe von Hashfunktionen, die von Professor Ronald L. Rivest am MIT entwickelt wurden. Als Analysen ergaben, dass MD5s Vorgänger — MD4 — wahrscheinlich unsicher war, wurde MD5 1991 als sicherer Ersatz entwickelt. Tatsächlich wurden später von Hans Dobbertin Schwächen in MD4 gefunden.

1996 meldete Dobbertin eine Kollision in der Kompressionsfunktion von MD5. Dies war zwar kein Angriff auf die vollständige MD5-Funktion, dennoch empfahlen Kryptographen bereits damals, wenn möglich auf sicherere Algorithmen wie SHA-1 oder RIPEMD-160 umzusteigen. Im August 2004 fanden chinesische Forscher Kollisionen für die vollständige MD5-Funktion. Wie sich diese Entdeckung auf die Verwendung von MD5 auswirkt, bleibt abzuwarten.

besonders vorletzterer Satz Kollisionen für die vollständige MD5 Funktion.

Aber so genau weiss man nun auch nicht was das heisst

1. über md5 wurde in diesem forum an anderer stelle schon genug geschrieben, die boardsuche hilft.
2. würde ich mich freuen, wenn du zitate auch als solche erkenntlich machst.
3. steht in der englischen ausgabe von wikipedia folgendes zur "collision attack" und auch der artikel über md5 is etwas ausführlicher.
4. würde ich dennoch ungerne das pw oder den username in diesem link haben, auch wenn es nur die hashwerte von selbigen sind. ein zufallsstring, der eindeutig zugeordndet ist und nur, sagen wir 24 stunden lang gültig ist, gefällt mir besser.
5. ist das hier eh egal, denn das problem ist ja wohl gelöst, oder?

TeazY

man könnte auch einfach das registrierungsdatum + ID in eine md5-hash klatschen. Dann bräuchte man auch kein extra feld in der tabelle da datum und id schon vorhanden sind.

Bei der überprüfung wird dann einfach das datum + ID abgefragt, in einen has gesteckt und mti dem hash aus dem Link vergleichen. Wenn er übereinstimmt wird der user auf "aktiviert" gesetzt. Wenn nicht, gibts eine nette fehlermeldung und das wars.

Zum Thema 24 Stunden gültigkeit: Wenn cih mich jetzt registriere und dann nicht direkt in mein postfach schaue um den account zu aktivieren. Weiss man ja nciht wann cih wieder komme und meine E-Mail checke. Sollte der Aktivierungslink dann schon veraltet sien brauchst du eine weitere funktion die mir einen neuen aktivierungslink zuschickt den cih dann wieder bestätigen muss. das ist unnötiger mehraufwand . also lieber keine gültigkeitsdauer einbauen. Ich verwende da lieber vorhande werte die sich nicht ändern.

__________________
Kommt Zeit, Kommt Rat!
.visit » TNK-Studios.de
.visit » TolgaFFM @ YouTube.de

nikosch

Jede Minute erhöht aber die Möglichkeit eines Bruteforce Angriffs. Login auf eine fremde Emailadresse und dann fröhlich losprobieren.

Btw: Der Thread ist 4 Jahre alt.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

TeazY

hab ihn aber aus der liste "neue beiträge" xD

Der zugriff auf fremde email adresse ist in diesem fall doch aber nciht so gefährlich oder? ich mien man bekommt ja "nur" einen link mit einem verschlüsselten code oder einem hash im link mit dem man nicht ausser den account aktivieren kann. Andere daten sind doch dadurch erstmal nicht gefärdet, oder?

__________________
Kommt Zeit, Kommt Rat!
.visit » TNK-Studios.de
.visit » TolgaFFM @ YouTube.de

nikosch

Immerhin kannst Du Dich auf eine fremde Emailadresse anmelden.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--