[DerBiber]

Da ich ein privates Forum mit einem Forum einer anderen Person kombinieren möchte, sollte ich ihm doch die DB weitergeben, also komplettes DB-Backup.
Könnte man aus der DB Passwörter oder ähnliches vertrauliches auslesen?
Oder könnte man die so definitiv nicht rekonstruieren...?
Vertrauen ist nämlich gut, aber Kontrolle besser

Danke im Vorraus

[mathmos]

Es werden bei phpBB "nur" die MD5-Summen der Passwörter in der Datenbank gespeichert. Diese sind im Moment als ziemlich sicher anzusehen (http://de.wikipedia.org/wiki/Message-Digest_Algorithm_5).

Leichter wäre es da schon, die vorhandenen MD5-Summen gegen eine MD5-Summe eines bekannten Passwortes auszutauschen und somit Zugriff auf die jeweiligen Accounts zu erhalten.

cu
mathmos

[Lessig]

Zitat von mathmos 

Leichter wäre es da schon, die vorhandenen MD5-Summen gegen eine MD5-Summe eines bekannten Passwortes auszutauschen und somit Zugriff auf die jeweiligen Accounts zu erhalten.

Zugriff auf die Accounts wird der andere sowieso bekommen, denn ich nehmen mal an er ist auch Admin. Passwort ändern etc. wäre ja dann kein Problem. Aber es geht vornehmlich um die Passwörter der User, und die kann man eher nicht auslesen.

[virriz]

Och, kommt drauf an wie lang das Passwort ist.
Mit 2x Quad-cores geht das Bruteforcen ruckzuck.

[amarok]

personal messages stehen im klartext im dump.

[DerBiber]

Ok, wie kann ich eventuelle PN's schnell aus dem Backup entfernen? Wüsste da jemand ne einfache Methode?

Dass derjenige Zugriff hat auf alle Nutzer usw. ist mir klar. Geht nur darum, dass die Passwörter der jeweiligen User nicht bekannt werden.

[tiberian]

Wenn du einen db dump zb über phpmyadmin ziehst, kannst du bestimmte Tabellen vom Export ausschließen. So könntest du zB die Struktur der pn tabelle übergeben aber eben keine Inhalte.
Evtl hast du ja auch ein "verstecktes" bzw. einem gewissen benutzerkreis vorbehaltenes Forum - dessen Inhalte wären ja dann auch für den anderen Sichtbar.

[muelleimer1]

ähm, wie kommt ihr darauf dass md5 sicher sei? viele passwörter kann man mit rainbow tabellen rauskriegen.... ich würd lieber vorher alle md5summen unbrauchbar machen...

[mathmos]

Mit den Rainbow Tables hast du technisch gesehen Recht. Nur wer besorgt sich solche x Gigabyte große Klötze, wenn er eh schon Vollzugriff auf die ganze Datenbank hat?

Ein Entfernen der Hashwerte bringt in dem Fall doch nichts. Denn was passiert dann? Die Benutzer müssen sich ein neues Passwort zuschicken lassen. So könnte derjenige, der für DerBiber die Arbeiten an der Datenbank und am Board macht, doch einfach die Funktion so umschreiben, dass jedem das selbe Passwort zugeschickt wird. Oder er setzt einen Rainbow Table auf die Datenbank an, nachdem das Board wieder läuft und die Passwörter geändert wurden. Oder er verwendet das Backend von phpBB. Oder verwendet SQL-Statements.

Ich würde sagen eine sichere Lösung für alle Beteiligen kann es in dem Fall nicht geben.

cu
mathmos

[virriz]

Zitat von mathmos 

Nur wer besorgt sich solche x Gigabyte große Klötze, wenn er eh schon Vollzugriff auf die ganze Datenbank hat?

Wieso besorgen? Sowas hat man!

[Wasserablauf]

es gibt auch websites die das abgleichen mit rainbowtabels übernehmen... einfach md5 hash rein und man sieht das passwort...

und ein backup der user pass hashes zu machen und die in der DB die man weitergibt auszunullen ist wohl kaum ein problem. phpmysql vereinfacht die sache nochmals...

[mathmos]

Zitat von Wasserablauf 

und ein backup der user pass hashes zu machen und die in der DB die man weitergibt auszunullen ist wohl kaum ein problem. phpmysql vereinfacht die sache nochmals...

Nochmal. Was bringt das im dem Fall außer einem unnötigen Mehraufwand?

cu
mathmos