Forum libero

> > ... sono memorizzate in chiaro in modo che ${GiamboWakkoSassoSuora} può vederle ( ) oppure debitamente hashate?
>
> Per ora sono hashate in md5 semplice, senza salt
> Bisogna cambiare la cosa, metterci almeno un salt, e possibilmente cambiare in SHA1 o meglio SHA256.

Come si fa a cambiare metodo di cifratura one-way senza conoscere le password?

> Si sta pensando ad un modo per migrarle senza dover ri-registrare tutti gli utenti.

Ah ecco, è quel che dicevo.
Si potrebbe associare al record un campo che specifica il metodo di cifratura, in modo che leggendo il campo il server riconosca gli utenti con password cifrata MD5 insipido, ma al contempo mentre riceve dal form la password in chiaro (*), la ricifri SHA256.
Così quando l'utente accede la sua password viene ricifrata automaticamente.

(*) occorrerà anche pensare a questo inconveniente, ad esempio implementando una specie di SSL via Javascript.

> > ... sono memorizzate in chiaro in modo che ${GiamboWakkoSassoSuora} può vederle ( )
>
> Le vediamo, poi nella Sezione Elite ci facciamo delle grasse risate sorseggiando del Brandy debitamente invecchiato

Nella sezione Poveri Diavoli però ci siamo scolati il whisky invecchiato di avvelenato, altro che sorseggiare!