Šifrování hesel

Neřikejte.

Obávám se že na to by jste si musel vytvořit vlastní plugin pro autentifikaci. Na druhou stranu ale proč? Někdo získal přístup k databázi, tedy k seznamu hesel? Pak máte asi úplně jiný problém než že by mohl rozšifrovat heslo. Nebo řešíte jen jakýsi teoretický problém? Pak mi řekněte kde ten hacker získá to zašifrované heslo?

Navíc jsou hesla šifrována pomocí jednosměrné funkce, MD5 s přidaným generovaným náhodným řetězcem. To že je jednosměrná, znamená, že nelze zpětně bez doplňujících údajů rozšifrovat, hacker tedy může získat jakési heslo, to ale bude fungovat jen na té konkrétní Joomle. Je to něco jako sinus(x), máte li hodnotu y, nelze dopočítat x, resp. těch x máte nekonečně mnoho.

Z hlediska bezpečnosti je primárnízabezpečit aby se k databázi hacker nedostal. Dekódovat MD5 opravdu nelze, existují sice "dekodéry", ty ale pracují pouze s databází řetězců a jejich md5 podob. Joomla navíce hesla ukládá s náhodným řetězcem, tím je bezpečnost ještě více zvýšena. Nevím jak hacker odhalil heslo jak píšete, ale upřímně o tom pochybuji. Spíše odhalil heslo, které má stejný md5 hash jako použité heslo a to mu umožnilo přihlásit se.

Vzhledem ale k použité salt, je to heslo nepoužitelné na jiné stránky, tedy i když mají Vaši uživatelé stejé heslo např. k mailu decryptované heslo hackerovi nepomůže (na mailu samozřejmě navíc může být jiné šifrování).

Pokud by jste opravdu chtěl jiné šifrování, jak jsem psal, musel by jste si napsat svůj authentication plugin (nebo upravit jádro s tím že s aktualizací o změny můžete přijít).

V podstatě by to nemuselo být nic složitého, Joomla již podporu SHA-1 má. V podstatě by stačilo zkopírovat plugin authentication / Joomla a na řádku s voláním funkce getCryptedPassword doplnit třetí parametr 'ssha'.
Pak by jste ale ještě musel vytvořit user plugin, který by heslo se správným šifrováním ukládal.

Pozor ale na to, že pokud by jste vypl standartní MD5, nikdo ze stávajících uživatelů se nepřihlásí (ani Vy do administrace).

Trochu se mírněte. Pomáhaj Vám tu všichni. Heslo Vám z MD5 nedešifroval, to prostě nelze. Pokud chcete SHA-1 popsal jsem Vám jak. Ale bezpečnost tím nezvýšíte.

A jak Vám proti Brute force pomůže SHA1?

Stačí mu jen salt.

Jako že hackerovi na prolomení hesla stačí jen salt? Tak to už Vás houpe opravdu dokonale

A do 10-ti hodin silnější heslo cracklé není, zkuste si to spočítat, řekněme 27 písmen abecedy + 10 číslic + cca 7 běžnějších speciálních znaků, to máte 45 znaků, při délce 10 znaků je to 45 na desátou kombinaci.
Říkáte-li 4000 hesel za sekundu, projití 45 na desátou kombinaci trvá cca 270 tisíc let.
Samozřejmě pokud se jede dle slovníku a Vaše "silné" heslo je ve slovníku (třeba i s příponou nebo předponou) může to opravdu trvat těch 24 hodin.