phpass

Kurze Nachfrage zur eigenen Sicherheit:

In meiner Datenbank finde ich mit der Suche "phpass" unter extensions noch einen vermutlich alten Eintrag:

{"name":"lib_phpass","type":"library","creationDate":"2004-01","author":"Solar Designer","copyright":"","authorEmail":"solar@openwall.com","authorUrl":"https:\/\/http://www.openwall.com\/phpass%5C/%22,%22version%22:%220.5.1%22,%22description%22:%22LIB_PHPASS_XML_DESCRIPTION%22,%22group%22:%22%22,%22changelogurl%22:%22%22,%22filename%22:%22phpass"}.

Dazu unter /libraries den Ordner phpass.

Kann ich beides löschen?

Zitat von Sieger66

Soweit ich sehe ist auch in J5 und J6 dieser Dateiordner mit Inhalt vorhanden:

github.com/joomla/joomla-cms/tree/5.4.6/libraries/phpass

und sollte man wohl nicht löschen bzw. wird nach dem nächsten Joomla-Core-Update wohl ohnehin wieder vorhanden sein!

Sehe in J5 und J6 auch die entsprechende Manifest dort:

github.com/joomla/joomla-cms/blob/5.4.6/administrator/manifests/libraries/phpass.xml

daher wohl keine gute Idee derlei in der Datenbank zu löschen...

Alles anzeigen

• In meiner Datenbank steht noch folgender nicht gelöschter EIntrag auf enabled:0
  {"name":"lib_phpass","type":"library","creationDate":"2004-01","author":"Solar Designer","copyright":"","authorEmail":"solar@openwall.com","authorUrl":"https:\/\/http://www.openwall.com\/phpass%5C/%22,%22version%22:%220.5.1%22,%22description%22:%22LIB_PHPASS_XML_DESCRIPTION%22,%22group%22:%22%22,%22changelogurl%22:%22%22,%22filename%22:%22phpass"}
  
• Den Ordner /librairies/phpass hatte ich gelöscht, ist aber in meiner subdomain noch vorhanden. Er enthält zwei Dateien:
  index.html
  PasswordHash.php (Quelltext siehe unten)
  
• Unter system/Überprüfen zeigt das BE mir an:
  PHPass
  PHPass ist ein portables Passwort-Hashing-Framework für den Einsatz in PHP-Anwendungen. Die bevorzugte (sicherste) von phpass unterstützte Hashing-Methode ist die OpenBSD-style bcrypt (in PHP als CRYPT_BLOWFISH bekannt), mit einem Fallback auf BSDI-style extended DES-basierte Hashes (in PHP als CRYPT_EXT_DES bekannt), und einem letztlichen Fallback auf eine MD5-basierte variable Iterationszählung des Passwort-Hashing-Verfahrens, die in phpass selbst implementiert ist.
  
• Versuche ich das alte phpass zu installieren, kommt:
  Bibliothek installieren: Library hat den gleichen Namen wie eine vom Joomla Core.
  Die gefundenen Installationspakete konnten nicht installiert werden.: 11054

Eigentlich benötigt joomla 5.4.x die Komponente PasswordHash.php doch nicht mehr, oder sehe ich das falsch?

Auszug Quelltext PasswordHash.php:

<?php
#
# Portable PHP password hashing framework.
#
# Version 0.5.1 / Joomla Project.
#
# Written by Solar Designer <solar at openwall.com> in 2004-2006 and placed in
# the public domain. Revised in subsequent years, still public domain.
#
# There's absolutely no warranty.
#
# The homepage URL for this framework is:
#
# http://www.openwall.com/phpass/
#
# Please be sure to update the Version line if you edit this file in any way.
# It is suggested that you leave the main version number intact, but indicate
# your project name (after the slash) and add your own revision information.
#
# Please do not change the "private" password hashing method implemented in
# here, thereby making your hashes incompatible. However, if you must, please
# change the hash type identifier (the "$P$") to something different.
#
# Obviously, since this code is in the public domain, the above are not
# requirements (there can be none), but merely suggestions.
#
class PasswordHash {
var $itoa64;
var $iteration_count_log2;
var $portable_hashes;
var $random_state;
...

Zitat von kitepascal

Joomla! API - PHPassHandler

Stimmt, ist aus Drittanbieter-Kompatibilitätsgründen tatsächlich weiterhin enthalten, wird laut Doku vom Core ab J6 jedoch nicht mehr genutzt.

In J5 nur noch, wenn sich ein User seit Jahren nicht eingeloggt hat.

User, die sich seit Jahren nicht eingeloggt haben, gibt es nicht.

Dann kann ich den DB_Eintrag (siehe #5) tatsächlich löschen:

• {"name":"lib_phpass","type":"library","creationDate":"2004-01","author":"Solar Designer","copyright":"","authorEmail":"solar@openwall.com","authorUrl":"https:\/\/https://forum.joomla.de/phpass%5C/%22,…me%22:%22phpass"}

Damit ich ruhig schlafen kann:

• Backup meiner DB vom Vortag eingelesen (mit phpass Eintrag, enabled=1)
• Ordner /libraries/phpass wieder hergestellt

Unter System/Installieren/Überprüfen zeigt das BE mir den "grünen Haken" an.

Vielen Dank für die Unterstützung von kitepascal und Sieger66!