Как хранить пароли пользователей так, чтобы админстратор в дальнейшем имел доступ к любой учетной записи?

Question

[yavaskript]

Как известно, хранить пароли в БД в том виде, в каком их задает пользователь - это плохая идея. В базе данных нужно хранить именно хэш, а при входе пользователя проверять пароль на соответствие хэшу. Расхэшировать пароль, чтобы посмотреть, какой он в оригинале, не должно быть возможным. Но как тогда администратору знать, какой пароль задал пользователь, чтобы иметь доступ к его учетной записи?

Comments

[Альберт Зуев]

Можно также хранить уникально сгенерированный ключ (и НЕ хэшировать его), с которым разрешать вход в систему.

Answer 1

[bkosun]

Администратору не нужно знать пароль, достаточно реализовать метод, который позволит администратору войти под именем пользователя без необходимости вводить пароль.

Comments

[kunjut19]

недавно обращался в тех. поддержку одного крупного зарубежного сервиса из-за проблем с подпиской. Спросили только имя пользователя, но потом прислали уведомление с текстом "мы покопались в вашей учетной записи и всё исправили. Теперь вам нужно сменить пароль, потому что мы его узнали". При этом пароль не был сброшен, а остался таким же.
Получается, для работы с моей учетной записью им понадобился мой пароль, и они его вытащили из базы. Как в таком случае они его хранят?

[Sanes]

kunjut19, шифруют.

[kunjut19]

Sanes, а потом, когда я им пишу "у меня проблемы с подпиской. Нажмите там у себя нужные кнопки, чтобы все заработало", они его расшифровывают и заходят под моей учеткой (как это делаю я)?

[Sanes]

kunjut19, шифрование использують, если надо отобразить пароль. Авторизоваться могут и другими методами, необязательно знать пароль.

Answer 2

[Владимир]

Типичные варианты:
1 Сделать так чтобы функционал и права администратора позволяли зайти как любой пользователь без проверки пользовательского пароля.
2 Или администратор сбрасывает пароль пользователя на новый и с помощью нового пароля заходит в учетную запись пользователя.

Answer 3

[Sanes]

Вместо хэширования использовать шифрование. Если хотите его показывать.

Answer 4

[Антон Р.]

Создай роль - СуперЮзер и дай ему право копаться в любом аккаунте.

Answer 5

[АртемЪ]

Как хранить пароли пользователей так, чтобы админстратор в дальнейшем имел доступ к любой учетной записи?

Администратор и так имеет полный доступ к любой учетной записи, для этого ему точно не нужен пароль пользователя.

Расхэшировать пароль, чтобы посмотреть, какой он в оригинале, не должно быть возможным.

Расхэшировать это как вообще? Это что то новое. Из хэша в любом случае невозможно никакими методами узнать оригинал, с которого получен хэш.

Но как тогда администратору знать, какой пароль задал пользователь, чтобы иметь доступ к его учетной записи?

Никак, ибо ему это не нужно.
Пароль должен знать только пользователь и никто более.

Comments

[Дядька Серёжа]

Расхэшировать это как вообще?

Ну как, взять все слова в мире и захэшировать, затем сравнить имеющийся хэш со всеми хэшами от всех слов в мире, к какому-то да подойдет) есть даже сайты на которых вбиваешь хэш и они по многогигабайтнлй базе проверяют хэш и говорят пароль за секунду

[АртемЪ]

Дядька Серёжа,

Ну как, взять все слова в мире и захэшировать, затем сравнить имеющийся хэш со всеми хэшами от всех слов в мире, к какому-то да подойдет

Да, это называется брутафорс.

есть даже сайты на которых вбиваешь хэш и они по многогигабайтнлй базе проверяют хэш и говорят пароль за секунду

А это называется поиск по радужной таблице.

Но самое главное -
Оба этих метода не могут восстановить изначально захэшированные данные, они лишь способны подобрать такие данные, которые при хэшировании дают такой же хэш.
Про коллизии слышали?

Answer 6

[CityCat4]

Зачем?

Что такого есть у пользователя, что он может этим паролем скрыть от админа? (Хинт: ничего). Он и без всякого пароля имеет доступ ко всем учеткам.

А если Вы задумали делать втихушку имперсонацию - это дурная идея и такому сайту я бы точно не доверял. Тут и огрестись можно.