Crypt bei jedem Aufruf anders - wie kann man das prüfen?

[dwex]

Hallo Leute,

ich mache mit der Funktion crypt() eine "Passwortverschlüsselung" für eine MySQL-Tabelle.
Das ganze hat den Sinn mit dem Apache-Modul für .htacces über MySQL eben auf diese zuzugreifen.
Das ganze funktioniert auch bestens.

Jetzt möchte ich jedoch das man nach dem Login sein Passwort auch ändern kann - auch das ist kein Problem und läuft schon.

So nun zu meinem Problem.
Ich möchte jetzt, dass wenn man sein Passwort ändert, auch das alte Passwort eingeben muss - damit niemand unberechtigt das Passwort ändert wenn man eingeloggt ist.

Wenn ich das jedoch mache und den für das alte Passwort eigegebenen String mit crypt() umwandle und dann in der MySQL-DB auf übereinstimmung prüfe bekomme ich immer false zurück geliefert. Ich musste dann feststellen, dass wenn der String für das Passwort immer gleich ist das von crypt() zurück gelieferte Ergebnis immer anders ist.

So meine Fragen dazu:
1. Warum ist das Ergbinis eigentlich immer anders (Hier kann ich mir schon denken, dass es an der Verschlüsselungsart liegen könnte - evtl - oder?)
2. Wie kann ich das Passwort dann in der DB prüfen - Linux kann das doch auch?

Vielen Dank für eure Hilfe im voraus!

 

[tobee]

2. Wie kann ich das Passwort dann in der DB prüfen - Linux kann das doch auch?

Wie überprüfst du denn das Passwort?

<?php
$passwort = crypt('mein_Pwd'); // let the salt be automatically generated

/* Sie sollten das vollständige Ergebnis von crypt() als Salt zum
   Passwort-Vergleich übergeben, um Problemen mit unterschiedlichen
   Hash-Algorithmen vorzubeugen. (Wie bereits ausgeführt, verwendet
   ein Standard-DES-Passwort-Hash einen 2-Zeichen-Salt, ein
   MD5-basierter hingegen nutzt 12 Zeichen. */
if (crypt($benutzer_eingabe, $passwort) == $passwort) {
   echo "Passwort stimmt überein!";
}
?>

Tobee

 

[Nils Hitze]

Hab dazu was gefunden

http://www.xpbulletin.de/t4679-0.html

Nimm also lieber md5()

Wichtig ist, dass der Salt immer gleichbleibt. Ist so eine Art