problemino con password md5 da inviare via email

[allin81]

salve a tutti
sto creando una gestione di login per degli utenti.
L'idea mia è quella di creare una password momentanea da inviare via email ed appena accedono hanno l'obbligo di cambiarla.

Il problema è che la inserisco in formato md5 ma quando invio l'email all'utente gli arriva sempre in formato md5.
Mi servirebbe un modo per tirarla fuori in modo "normale" (non md5) cosi' da inviarla all'utente, ma nel db deve stare in md5

Come posso fare?

[Alhazred]

Suppongo che invio email e salvataggio sul db avvengano durante la stessa operazione.
Quando generi la password temporanea la salvi in una variabile, la codifica MD5 la salvi nel DB e non codificata la mandi per email.

$pass_tmp = 'pippo';
$pass_md5 = md5($pass_tmp); 

$pass_tmp la metti nella mail
$pass_md5 la usi per la query INSERT

P.S. comunque se vuoi fare una cosa seria lascia stare MD5, link

[allin81]

si in effetti sbagliavo l'ordine di invio email e di estrazione password.
Ora invece ho risolto piu' o meno come dicevi tu.

Quindi devo rimuovere md5 ed usare sha1?
Grazie

[Alhazred]

No, lì ti dice che non va bene nessuno dei 2.
Usa la funzione crypt(), la API "Password Hashing" potresti non averla disponibile.

[allin81]

pero' ho un problemino.
Ho già mandato l'email a qualcuno per dire di accedere all'extranet e cambiare password.
Se ora cambio la funzione, cosa accadrà a chi ha già cambiato la password?
Io non posso cambiargliela non conoscendola... Devo ricontattarli per dirgli che devono ricambiarla?

[Alhazred]

Sì, se hai già iniziato ad usare md5, chi ha già cambiato password dovrà farlo di nuovo se usi un'altra codifica.

Se non puoi fargliela cambiare, prevedi entrambe le codifiche, ovvero:
- l'utente tenta il login
- il tuo script cerca username e password nel db usando crypt()
- se trova una corrispondenza, porta a termine il login
- se non trova una corrispondenza, prova criptando la password con MD5
--- se trova una corrispondenza porta a termine il login
--- se non trova una corrispondenza le credenziali per il login sono sbagliate

Nella funzione che permette di modificare le password usa crypt() così quando chi al momento ha la password MD5 avrà la nuova codificata con crypt().

[allin81]

ok perfetto, tutto chiarissimo, ora vediamo se riusciamo a metterlo in pratica
grazieee!

[allin81]

ho provato ma mi dice:
FUNCTION crypt does not exist
Come mai?

[Alhazred]

Strano, è disponibile da PHP 4, che versione di PHP stai usando? In locale o su un hosting?

[allin81]

5.3.3
il problema ce l'ho quando faccio l'update della tabella cosi:

$sql_password = "update login set password = crypt('$password_momentanea') where id_hotel = \"$id_hotel\"";