hallöchen freunde =)

das mit dem Plaintext hat gerade einer meiner User beanstandet, gibt es hierzu schon Einstellungsmöglichkeiten das einfach garkein PW bei der Bestätigungsmail mitgesendet wird?

Bitte?

lg

Zitrönchen

Liebe Entwickler,

ich habe viele Galerien verglichen und Piwigo hat mir sehr gut gefallen. Nach dem Installieren sind mir aber sehr große Security-Probleme aufgefallen, aufgrund derer ich die Software nicht verwenden möchte:
1. Beim Anmelden wird das eigene Passwort im Klartext per E-Mail versendet.
2. Passwörter sind in der Datenbank als md5-Hash gespeichert.

Jeder, der sich ein bisschen auskennt, weiß, dass man per E-Mail (unverschlüsselt) keine sensiblen Daten verschicken soll (Initial-Passwort wäre noch ok, aber nicht das persönliche). Außerdem sollte man ein Passwort nie im Klartext darstellen. Wenn ich nach der Anmeldung eine E-Mail bekomme, in der ich mein Passwort lese (das erste Mal, dass ich das Passwort vor mir sehe), erschrecke ich sehr und mein Vertrauen in den Dienst ist verloren.

md5 ohne weitere Vorkehrungen (salt) ist auch sehr unsicher. Es ist sehr leicht an entsprechende Tabellen zu gelangen, aus denen man kürzere Passwörter (6 Zeichen z.B.) ohne den geringsten Aufwand rekonstruieren kann. Passwörter als md5-Hash zu speichern verstößt mittlerweile auch gegen alle Grundsätze.

Das Versenden als Klartext per E-Mail ist ein echtes Security-Problem, da auch Unbeteiligte potentiell Zugriff haben könnten. Auf die Datenbank kann zwar nur jemand zugreifen, der das Datenbank-Passwort hat, aber gute Security-Maßnahmen haben zum Ziel, dass niemand außer der Benutzer das Passwort herausfinden kann.

Das Argument, dass es nur um einen Piwigo-Account geht, gilt nicht. Bestimmt haben viele Benutzer nur ein einziges Passwort. Wenn man dann die E-Mail liest, kann man sich vielleicht Zugang zum E-Mail-Account verschaffen, der das selbe Passwort verwendet usw.

Aber um die Folgen muss man sich gar nicht viele Gedanken machen. Es ist einfach best practice und das hat gute Gründe. Man muss wirklich nicht viel von Security verstehen, dass sich einem bei diesen groben Schnitzern die Nackenhaare zu Berge stellen.

Ich habe leider kein Vertrauen mehr in die Software. Ich würde mich freuen, wenn das verbessert wird.

Beste Grüße
Javier