Hallo,
ich würde bei ein paar Seiten von mir gerne auf salted_passwords umstellen. Gibt teilweise mehrere 1000 Benutzer..
Habe mich einmal an die folgende Anleitung gehalten:
http://blog.marit.ag/2010/02/12/fe-user-gesalzenen/
Das funktioniert aber hinten und vorne nicht - rasauth und salted_passwords kann ich installieren und wenn ich es für das Backend aktiviere dann klappt alles. Beim Frontend habe ich aber folgende Probleme:
- Klartextpasswörter werden nicht umgewandelt, der Login funktioniert einfach nicht
- Die Registrierung funktioniert (trotz srfeuserregister_t3secsaltedpw) gar nicht mehr
Die Benutzerdaten werden nicht korrekt in der Datenbank gespeichert, wenn ich mich nach der Installation von t3sec... registriere steht folgendes in den Feldern:
Timestamp: 1330600379
Username: <ist leer>
Password: 123456 <kein salted Hash>
Installiert: TYPO3 4.5, aktuelle sr_feuser_register
Gibt es jemanden der das schon einmal geschafft hat das umzustellen oder vielleicht auch diese Probleme hatte und weiß wie sie zu lösen sind?
lg Matthias
p.s. Ich finde es übrigens mehr als schwach, dass es da keine ordentliche Lösung gibt und die sr_feuser_register nicht entsprechend umgebaut wird - gibt es eigentlich andere Extensions für die Benutzerregistrierung?
Hi,
ich verwende datamints_feuser. Keine Probleme mit Gesalzenen Passwörter. Was sagt denn der REPORT über die Installierten Services / Status. Ist da alles im Grünen Bereich?
Hast du Den Scheduler [Convert user passwords to salted hashes (saltedpasswords)] verwendet? Wenn nicht erst ein Backup von deinen USER DATEN machen. dann den Scheduler mal laufen lassen um Die USER PW in salted umzuschreiben.
gruss
maty
Naja, solange die sr_feuser_register keine korrekten salted passwords erstellt kann ich den scheduler nicht drüberlaufen lassen..
Bei einem Projekt könnte ich theoretisch auf datamints_feuser umsteigen, aber ein zweites verwendet an zu vielen stellen die sr_feuser_registert - deswegen würde ich das gerne einfach umstellen - aber Extensions aktivieren (rsaauth und saltedpasswords) und srfeuserregister_t3secsaltedpw installieren führt dazu, dass die Registrierung gar nicht mehr funktioniert.
Im Extension Manager bei der saltedpasswords sagt er das alles klappt - für Backend-Benutzer funktioniert es auch, kann also nicht am Server liegen.
lg Matthias
Also manchmal bin ich echt am überlegen ob ich mir nicht mal ein anderes CMS ansehen sollte und TYPO3 ablösen.. #angry#
Ich habe es jetzt einmal lokal probiert:
salted_passwords und rassauth installiert, loginSecurityLevel für FE und BE auf rsa gestellt.
Ich ändere im Backend bei fe_user und be_user das Passwort:
Es wird korrekt als Hash in der Datenbank gespeichert.
Backend Login:
Der Backend Login funktioniert.
Frontend Login mit fe_login 1.3.1:
Der Frontend Login funktioniert einfach nicht mehr - wenn ich in der Datenbank ein Passwort eintrage funktioniert der Login wieder - aber sobald ein Hash in der Datenbank steht klappt es nicht mehr. Auch mit den Standardtemplates von fe_login funktioniert es nicht.
Zur sr_feuser_register bin ich jetzt lokal noch gar nicht vorgedrungen...
Je länger ich mit TYPO3 arbeite um so öfter stolpere ich über Dinge die extrem schlecht dokumentiert sind, Anleitungen die einfach nicht funktionieren, haufenweise Threads von Personen die ähnliche Probleme haben und entsprechend viele unterschiedliche Lösungsvorschläge (die aber auch oft nicht funktionieren) - hat ein bisschen was von einem Ratespiel..
lg Matthias
Wenn ich den loginSecurityLevel auf "normal" ändere dann kann ich mich jetzt lokal anmelden mit Salted-Passwords und Plain Text Passworte werden in einen Hash umgewandelt.
Jetzt noch die sr_feuser_register... wenn ich die Extension srfeuserregister_t3secsaltedpw installiert habe (selber Effekt wie am Server) dann wird das Passwort in Plain-Text in die Datenbank geschrieben und alle anderen Benutzerdaten werden nicht gespeichert (uid: 18 ) - wenn ich die Extension wieder deaktiviere, dann wird der Benutzer angelegt allerdings natürlich mit Plain-Text Passwort (uid: 19) - wenn sich der Benutzer dann einmal anmeldet wird es umgewandelt:
Bild: dl.dropbox.com/…/sr_feuser_register_salted.JPG
Liebe Grüße,
Matthias
So... jetzt dachte ich mir es liegt eventuell an meinem sr_feuser_register Template, also habe ich die Zeile in meinem Template auskommentiert damit die Standardtemplates verwendet werden.
#plugin.tx_srfeuserregister_pi1.file.templateFile = fileadmin/templates/html/ext/sr_feuser_register/sr_feuser_register.html
Damit kann ich mich jetzt einmal gar nicht mehr anmelden.
Ok.. da hatte ich noch wo ein evalField drinnen im Setup und das war in dem Main-Template nicht drinnen.
lg Matthias
p.s. auch noch interessant: http://bugs.typo3.org/view.php?id=10202 - steht auf "resolved" - heißt das jetzt, dass das eigentlich in der 2.6.3 jetzt ohne srfeuserregister_t3secsaltedpw funktionieren sollte?
Ok,
habe es jetzt mit den sr_feuser_register Templates zum Laufen gebraucht aber der Effekt ist derselbe (mit srfeuserregister_t3secsaltedpw wird außer einem nicht salted Passwort nix in der DB gespeichert) ... :x
Liebe Grüße,
Matthias
Hallo,
habe jetzt mal ein grep nach "salt" durch den Code der aktuellen Version von sr_feuser_register laufen lassen, liefert aber nichts zurück. Es dürfte also ohne dritte Erweiterung nicht funktionieren. Allgemein würde ich derzeit im Zusammenhang mit saltedpassword einen großen Bogen um sr_feuser_register machen. Empfohlen wird oft datamints_feuser zu nehmen. Unter den Umständen würde ich die Zeit eher in diese Richtung investieren.
VG,
LuP
Hallo,
die Datamints speichert zwar das salted password, allerdings sind meine Registrierungsformulare etwas komplexer weswegen ein Umbau derzeit nur schwer möglich ist...
Das Ganze ist eigentlich ein ziemliches Armutszeugnis für TYPO3 - ich fand es immer schon komisch, dass es nicht eine Core-Extension für die Benutzerregistrierung gibt..
Hm.. habe mir jetzt die folgende Notlösung überlegt für den Anfang:
- sr_feuser_registert bleibt wie immer speichert also das Passwort normal in die Datenbank
- Beim ersten Login wird das Passwort umgewandelt
- Der Scheduler wandelt alle anderen Passwörter um..
Nicht ideal, gefällt mir nicht, aber besser als gar nix...
lg
Gude,
laut TER ist sr_feuser_register seit dem 4. Mai 2012 in V3.0.1 erschienen,
die wohl jetzt auch Requires Salted Passwords und RSA Authentication voraussetzt...
Hat da jemand mittlerweile Erfahrungen mit gemacht?