Tech-Talk « Categories « riecken.de

Verschlüsselung in Webapplikationen (MD5)

20. Januar 2009 Maik Riecken Kommentar hinterlassen

Passwörter gehören nicht in die Hände von Dritten, auch nicht in die von Administratoren. Daher wurden für die Speicherung von Passwörtern sogenannte Falltürmechanismen (trapdoor mechanisms) entwickelt:

Es ist zwar möglich, ein Passwort zu verschlüsseln, nicht jedoch es wieder zu entschlüsseln.

Der Verschlüsselungsalgorithmus funktioniert also genau wie eine Falltür nur in eine Richtung. Das mag auf den ersten Blick sinnlos erscheinen, ist aber eigentlich sehr pfiffig. Nehmen wir als Beispiel den weit verbreiteten MD5-Algorithmus. Mit diesem sichert fast jede Webanwendung in PHP ihre Passwörter ab. Dabei wird aus

123456=> MD5-Verschlüsseler => e10adc3949ba59abbe56e057f20f883e

Diese lange Zeichenkette sieht der Admin. Er weiß aber deswegen das Passwort im Klartext noch nicht, da der Weg

e10adc3949ba59abbe56e057f20f883e => MD5-Entschlüsseler (Gibt es nicht) => Passwort

prinzipbedingt versperrt ist. Die dabei entstehende, lange Zeichenkette wird „Hash“ genannt.

Wenn man sich nun an einer Webanwendung (Moodle, Joomla, egroupware …) anmeldet, macht die Webanwendung folgendes:

Benutzer gibt Passwort im Klartext ein => MD5-Verschlüssler => Hash1

Dieser Hash1 wird nun mit dem Hash – nennen wir ihn Hash2 – verglichen, der in der Datenbank für den User gespeichert ist (er könnte etwa bei der Registrierung erzeugt worden sein).

Stimmen beiden Hashes überein, hat der User das korrekte Passwort eingegeben, weil der Verschlüsselungsmechanismus ja immer gleich ist. Stimmen die Hashes nicht überein, muss der Benutzer ein falsches Passwort eingegeben haben.

Soweit so gut. Das ist auch die Erklärung dafür, dass einen – so man sein Passwort vergessen hat – stets ein neues Passwort zugewiesen wird, denn der Admin kann das alte Passwort ja nicht wissen, sondern lediglich ein neues setzen.

Eigentlich hört sich das Ganze recht sicher an – ist es bloß nicht, denn es gibt Angriffe gegen dieses Verfahren, die aber allesamt voraussetzen, dass der Angreifer an den Hash kommt.

Tech-Talk Kollision, MD5, Passwort, Sicherheit, Verschlüsselung

Evaluationssystem: Vereinfachung der Usability

8. Januar 2009 Maik Riecken Ein Kommentar

Alle Umfrageteilnehmer erhalten von uns einen zufälligen Benutzernamen und ein zufälliges Passwort. Es wäre ja sehr hübsch, wenn man gleich nach dem Anmelden direkt zu Umfrage gelangte. Das gelingt durch einen kleinen Trick:

Zunächst wird eine einfach zu merkende Subdomain angelegt, etwa

http://umfrage.schuldomain.tld

Unterhalb dieser Subdomain spielt man eine Datei „index.html“ mit folgendem Inhalt ein:

<html>
<head>
<meta http-equiv=„refresh“ content=„0; URL=<link>“>
</head>
<body>
Klicken Sie <a href=“<link>“>here</a> wenn Sie nicht automatisch zur Umfrage weitergeleitet werden…
Click <a href=“<link>“>here</a> if you are not redirected automatically…
</body>
</html>

Den Inhalt von <link> erhält man, wenn man im Kurs, in dem sich die Umfrage befindet, mit der Maus auf den Link zur Umfrage geht und dort mit der rechten Maustaste „Link-Adresse kopieren“ wählt.

link_feedback Danach befindet sich der Link in der Zwischenablage und kann mit <STRG+V> in die Datei eingefügt werden.

Jetzt gibt der Benutzer einfach unsere Domain in seinen Browser ein, meldet sich mit den Zugangsdaten an und landet dann direkt in der Umfrage – vorausgesetzt es ist kein Kursschlüssel gesetzt.

Wenn man diesen setzt – und das ist mehr als sinnvoll – muss man diesen den Umfrageteilnehmenden zusammen mit der Zufalls-ID mitteilen.

Mit diesem Verfahren gab es bei 150 Teilnehmenden nur in zwei Fällen Probleme beim Einloggen (Tippfehler bei der Eingabe der Zugangsdaten).

Tech-Talk Evaluation, Subdomain, Usability, Vereinfachung, Weiterleitung

Evaluationssystem: Konfiguration des Feedbackmoduls

5. Januar 2009 Maik Riecken Ein Kommentar

Eigentlich wäre die Geschichte keinen eigenen Blogbeitrag wert gewesen. Ich empfehle aus einigen rechtlichen Gründen folgende Einstellungen für das Feedbackmodul:

Anonym ausfüllen => anonym

Die zuvor mühsam generierten Zufalls-IDs sind schon anonym. Dennoch bleibt eine Gefahr erhalten, die man im Datenschutz als Verkettung bezeichnet. Es ist schlicht nicht notwendig eine bestimmte Zufalls-ID mit einer bestimmten Datenreihe zu verketten, d.h. z.B. genau zu wissen, wie „xzf56ez“ jetzt das Feedback beantwortet hat. Das wäre ein klarer Verstoß gegen das Gebot der Datensparsamkeit. In diesem Modus verkettet das Feedbackmodul stets den Anwender „anonymer Benutzer“ mit der Datenreihe.

Beachten Sie:

Der Erfolg und die Qualität Ihrer Umfragergebnisse hängen massiv vom vorher transparent dargestellten und vermittelten Grad der Anonymisierung ab. Diese simple Einstellung bietet in der Hinsicht viel mehr Sicherheit für den Teilnehmenden.

Tech-Talk Evaluation, Feedback, Konfiguration, Modul

Evaluationssystem: Kopplung des LDAP mit Moodle

5. Januar 2009 Maik Riecken 2 Kommentare

Vorausgesetzt wird, dass Moodle auf dem gleichen Server wir der eingerichtete und mit Daten befüllte slapd läuft. Schematisch ist diese Anleitung ganz allgemein verwendbar, um Moodle ein einen openLDAP-Server zu koppeln. Die „Bulkuploadleute“ brauchen diese Anleitung nicht…

Zunächst einmal müssen wir sicherstellen, dass die Authentifizierng über openLDAP überhaupt in Moodle aktiviert ist. Dazu klicken Sie im Administrationsmenu

Website-Administration => Nutzer/innen => Authentifizierung => Übersicht

auf das geschlossene Auge bei „LDAP-Server“, so es denn noch geschlossen ist. Durch das Aktivieren der LDAP-Aurhentifizierung bleiben übrigens alle übrigen Authentifizierungsmethoden funktionsfähig. Jetzt erscheint im Menu

Website-Administration => Authentifizierung

ein neuer Eintrag mit dem Namen „LDAP-Server“, den es anzuklicken gilt. Es folgt eine umfangreiche Konfigurationsseite. Ich hangle mich mich jetzt nur durch die Felder hindurch, die geändert oder mit Daten befüllt werden müssen. Alle anderen Felder bleiben jungfräulich. Es werden folgende Angaben aus dem vorherigen Schritt benötigt:

Wert der Variablen $organisation (evaluation)
Wert der Variablen $domain (schuldomain)
Wert der Variablen $tld (tld)

Ich nenne zunächst das Konfigurationsfeld gefolgt von einem Pfeil (=>), hinter dem der einzutragende Inhalt steht.

Tech-Talk Authentifizierung, koppeln, ldap, Moodle, verbinden

Evaluationssystem: Generierung der Zufalls-IDs

4. Januar 2009 Maik Riecken 3 Kommentare

Viele Wege führen nach Rom. Ich stelle einen einfachen vor (Bulkupload) und einen komplexeren (LDAP). Bei LDAP setze ich etwas mehr Kenntnisse auf der Konsole voraus.

Bei beiden Wegen muss man auf jeden Fall die Serienbrieffunktion einer Textverarbeitung beherrschen, um die IDs dann in individualisierter Form an die Umfragebeteiligten ausgeben zu können. Natürlich wird auch gleich die Fantasieemailadresse deaktiviert (emailstop).

Die eigentliche Zufallsroutine sieht so aus:

function getrandstr($length) {
$newpass = „“;
$laenge=$length;
$string=„abcdefghikmnopqrstuvwxyz23456789“;
mt_srand((double)microtime()*1000000);
for ($i=1; $i <= $laenge; $i++) {
$newpass .= substr($string, mt_rand(0,strlen($string)-1), 1);
}
return $newpass;
}

Aus dem Zeichenvorrat wurde alle Zeichen entfernt, die sich verwechseln lassen, etwa „1“ und „l“ (kleines L und die Zahl Eins) oder „0“ und „O“ (Null und Buchstabe O), damit es später nicht zu Tippfehlern kommt.

Ich habe das Script für mich inzwischen so weiterentwickelt, dass es nicht nur die IDs selbst, sondern auch noch via fpdf die Briefe für die Umfragebeteiligten als hübsches PDF erstellt – ein Klick, alles zum Drucken/Verteilen fertig. Da erfahrungsgemäß jede Schule ihr individuelles Layout wünscht, erscheint mir der Weg über die Serienbrieffunktion für die Allgemeinheit der gangbarste zu sein.

Wir nutzen für die Umfragen übrigens ein separates „Müllmoodle“, dessen Datenbank uns nicht viel bedeutet und gerne „versaut“ werden darf. Nebenbei entfällt gleich das Risiko, dass Dritte ungewollt Zugriff auf die Ergebnisse erhalten. Das Rechtesystem von Moodle wird nämlich gerne einmal unüberschaubar…

Tech-Talk Evaluation, generieren, ID, Moodle, Zufall

« 1 … 19 20 21 22 23 24 »