Kan mod se medlemmars password?

Lite svårt att tyda din knarkarsvenska, men tror du att man får en förfrågan om att bli mod bara för att man har många posts?

Och du har fått svar flera gånger: Mods/admin kan inte se lösenorden. Dom kan även inte läsa pm, bara dom som man själv rapporterar. (Tror jag)


Och vad har det med flashback eller denna tråd att göra?

r-uiop
Svar ja. Satt själv på såna databasuppgifter när jag lallade med Joomla för en tid sedan och eftersom Joomla är ett vanligt CMS så förekommer det sannolikt i en viss utsträckning.

Det var väldigt vad snabbt denna tråd föll över i rent off topic. Vad betyder detta? Kanske trådskaparen har en poäng, det är vad jag tror i alla fall...

Klart som faan mods eller i alla fall vissa utvalda kan se lösenorden - tror ni verkligen inte att detta är möjligt år 2014?! Klart de sitter på denna info, kan ju vara guld värd... Och med all annan skit som finns på Flashback och att säkert minst hälften utav modsen är ohederliga och straffade brottslingar, så vore det ju konstigt om de inte skaffat sig möjligheten till detta, eller hur...

Istället för att spekulera så kan man faktiskt komma med fakta.

login.php(POST)
För er som inte vet så betyder detta att lösenordet inte skickas i klartext till Flashback, det innebär alltså att det är totalt omöjligt att de sparar någonting i klartext(eftersom hash är enkelriktat). Om lösenordet hade skickats i klartext så hade det varit möjligt att lösenordet faktiskt sparades i ohashat.

Osaltad MD5:a är nog det värsta man kan använda rent kryptomässigt, men det är iallafall bättre än klartext, eftersom hashningen sker på klientsidan(md5.js) så är det värdelöst att använda salt. Sedan vad som händer efter detta kan jag inte svara på, men antagligen förs hashen in i ännu en hashfunktion med större storlek och lägger till salt och peppar. Om nu mods skulle kunna se medlemmarnas lösenord så behöver de veta salt, peppar, saltuppsättning och hashtyp och därefter kunna knäcka hashen.

Om vi ponerar att detta forum använder osaltad MD5 så är det bara till att sätta ett extremt avancerat lösenord så som "p@e92185y8jhf0iML9q%^9Dm8yxOJ8b7mq1". Moderatorerna kommer behöva en jävla massa kraft för de ska kunna cracka en 35-alnum char bara för att kunna logga in på en medlems konto.(och göra vad?)

Att de inte har tillgång till klartext-lösenord är ett faktum, men om de kan ändra lösenord direkt i databasen så skulle det vara möjligt att ta över en användares konto. Men sen måste moderatorn ändra i databasen igen, och kanske Flashback använder dynamiska salt?

Nåväl, tl;dr är att de inte kan se medlemmarnas lösenord. Med kunskap kommer man längre...

Nej, vi kan inte se medlemmars lösenord.



admin5

Det finns en enkel tumregel:

Om du kan beställa ditt gamla lösenord via epost, undvik siten.

Knappt hälften av alla inlägg raderade för OT, skärp er.

/mod

Att tro att mods kan se lösenord är ju absurt. Ens om de hade sparats i klartext så hade det ju isåfall varit ett aktivt beslut av admin att ge dem tillgång till databasen - vilket inte ger någonting förutom problem.

Jag är inte så kunnig i hashande (hehö) och hur det fungerar, men om två användare har samma lösenord så borde väl hashen se likadan ut?

Precis, men det är därför som salt och peppar kommer in. Man saltar företrädesvis med något användarunikt och pepprar med något sajtunikt. Då blir två likadana lösenord olika hash i databasen.

Och nej, återigen, vi moderatorer kan inte se några lösenord. Faktiskt inga användaruppgifter alls förutom det som finns på den vanliga profilsidan.

Tre svar men inget tydligt svar om orsakerna till att ni inte kan se lösenorden, kan ni bekräfta att orsaken är just att lösenorden inte sparas utan att endast en saltad hash av det sparas?

Alla lösenord sparas saltade och krypterade. Det enda sättet att se dessa är att sitta direktuppkopplad mot databasen i en terminal, något som endast teknikerna har tillgång till.

Svaret på frågan är alltså nej.

Tack, äntligen ett tydligt svar!