Richtig Verschlüsseln mit MD5 ? Denkfehler ?

[Ulki]

Hallo,

Ich will meine Daten in der Datenbank durch MD5 verschlüsseln.
Im Moment mach ich das so, dass ich das passwort abfrage, verschlüssel und dann erst versende. Dann wird der MD5 code der überttragen wurde mit dem in der db verglichen. Ist das nich irgendwie sinnlos ? muss ich nich das normale passwort übertragen und erst auf der nächsten seite umwandeln ? Wie seht ihr das ?
wie verschlüssel ich MD5 richtig ?
Gruß
Hanno

[Reiner]

Hallo,

Ich will meine Daten in der Datenbank durch MD5 verschlüsseln.
Im Moment mach ich das so, dass ich das passwort abfrage, verschlüssel und dann erst versende. Dann wird der MD5 code der überttragen wurde mit dem in der db verglichen. Ist das nich irgendwie sinnlos ? muss ich nich das normale passwort übertragen und erst auf der nächsten seite umwandeln ? Wie seht ihr das ?

also, das macht wirklich keinen Sinn!
Überleg mal, was das MD5 gebracht hat! -> NICHTS
Du hast nur aus einem unverschlüsselten Paßwort ein anders gemacht.

Normalerweise dient MD5 dazu, um das Paßwort auf dem Server zu speichern. D.h. es ist nicht mehr herauszubekommen, welches Wort den Schlüssel erzeugt hat.
Insofern müßtest Du dem User das Paßwort (über eine andere sichere Mehtode) im Klartext übermitteln. Wenn er es einsetzt, würde dann daraus MD5 gemacht und mit dem Schlüssel des Servers verglichen.

Der Weg das Paßwort einzusetzen ist somit allerdings noch immer unsicher (über http), d.h. bei ganz sicheren Dingen sollte, wenn das erforderlich sein soll, SSL benutzt werden.

Was anderes noch:
Warum willst Du das Paßwort per Mail versenden?
1.) Genau das könnte unsicher sein.
2.) Geht Dich, selbst als Admin, das Paßwort gar nichts an (je nach Anwendungsfall!). Auch das ist an der Wahl, wie z.B. bei Linux Paßwörter gespeichert werden (/etc/shadow bzw. /etc/passwd) toll: der Admin kennt die Paßworte der User nicht!

Gruß
Reiner

[Ulki]

So wie ich dich verstanden habe, hab ich doch alles
richtig gemacht. Das passwort wird als MD5 in der Datenbank
gespeichert, sodass ich als Admin es sowieso nicht lesen kann.
Der Kunde will sich einloggen, gibt also sein Passwort ein, dies wird umgewandelt und VERSCHLÜSSELT übertragen. Das ist doch alles richtig so, hab dich jedenfalls so verstanden.
Gruß
Hanno