Seite 2 von 2
Verfasst: Donnerstag 14. Juni 2007, 07:37
von jens
.oO(Da hat aber jemand einen alten Thread rausgekramt)
Master_of_Mechanic hat geschrieben:Das DOS-Utility HTPASSWD.EXE finde ich nicht gerade ansprechend, vorallem da es sich nicht in Python einbauen läst.
Du könntest diese EXE Datei evtl. mit subprocess nutzten: [wiki]Neue Features#Subprocess[/wiki]
Aber schau mal hier:
http://docs.python.org/lib/module-crypt.html
IMHO kann man auch MD5 und SHA in .htaccess Dateien nutzten...
Verfasst: Donnerstag 14. Juni 2007, 07:50
von gerold
Master_of_Mechanic hat geschrieben:Das DOS-Utility HTPASSWD.EXE finde ich nicht gerade ansprechend, vorallem da es sich nicht in Python einbauen läst.
Hallo MoM!
Das ist aber oft die einfachste und naheliegendste Variante. Einfach ein schon vorhandenes Tool nehmen und über Python aufrufen.
Code: Alles auswählen
#!/usr/bin/env python
# -*- coding: iso-8859-15 -*-
import subprocess
from subprocess import PIPE
HTPASSWD = r"J:\Apache\bin\htpasswd.exe"
def generate_passwd(username, password):
args = [HTPASSWD, "-b", "-n", "-", username, password]
p = subprocess.Popen(args, executable = HTPASSWD, stdout = PIPE, stderr = PIPE)
return p.stdout.read()
def main():
print generate_passwd("gerold", "uuu")
if __name__ == "__main__":
main()
mfg
Gerold
Verfasst: Freitag 15. Juni 2007, 16:28
von Leonidas
Master_of_Mechanic hat geschrieben:wäre eine schöne Sache mit hilfe des Moduls crypt verschlüsselte Passwörter für die .htpasswd Datei zu erstellen. Leider bleibe ich als Windows user dabei aussen vor.
Dazu gibt es eben SSH: man generiert das Passwort aauf dem Server und schreibt es gleich an die richtige Stelle. Praktisch.
Verfasst: Freitag 15. Juni 2007, 20:00
von thelittlebug
Da ja einige ganz begeister von diesem "JS MD5 Password" Ding sind stell ich mal eine Frage: "Ist das sniffen eines Plaintext Passwords leichter als das sniffen einer MD5 Zeichenkette?"
Ich glaube nicht
-> MD5 Javascript = Scheinsicherheit
lgherby
Verfasst: Samstag 16. Juni 2007, 13:45
von veers
Naja solche Challange Response Algorithmen schützen nicht vor einem Man in the Middle Angriff. Dabei wird dann entweder das Javascript so manipuliert dass es das Passwort heimlich weiterleitet oder es wird ganz einfach der ganze Login umgeleitet. Das selbe Problem besteht auch beim Verwenden von SSL ohne die entsprechenden Zertifikate/Publickeys zu überprüfen. Die SSL Implementierung von CPython erlaubt das derzeit nicht und ist somit eigentlich nicht zu gebrauchen.
Die Sicherheit von solchen Methoden sind also eher gering