Хранение пароля пользователей незашифрованным

Убежден, что это порочная практика. Пользователям неприятно знать, что их пароль может быть виден владельцу сайта. А в случае взлома, пароль получит хакер.
Тем более, что исправления элементарны:
tools.php, строка 84
- $name=str_replace("|","I",$_POST['name']); $pass=str_replace("|","I",$_POST['pass']); $dayreg=$date;
+ $name=str_replace("|","I",$_POST['name']); $pass=md5(str_replace("|","I",$_POST['pass'])); $dayreg=$date;

tools.php, строка 37
- $name=str_replace("|","I",$_POST['name']); $pass=str_replace("|","I",$_POST['pass']);
+ $name=str_replace("|","I",$_POST['name']); $pass=md5(str_replace("|","I",$_POST['pass']));

tools.php, строка 206
- $pass=str_replace("|","I",$_POST['pass']);
- $oldpass=$_POST['oldpass']; // Старый пароль
+ $pass=md5(str_replace("|","I",$_POST['pass']));
+ $oldpass=md5($_POST['oldpass']); // Старый пароль


index.php, строка 73
- if ($wrfname===$realname & $wrfpass===$rdt[1]) {$ok="$i";}
+ if ($wrfname===$realname & md5($wrfpass)===$rdt[1]) {$ok="$i";}


Возможно я какие-то места упустил, т.к. не тестировал свои изменения. Но, думаю, автору не составит труда их найти и поменять.

слуш, если это работает, то ты просто молодец!
Михаил, ждем вашего вердикта=)))

Проблема в том, что такое изменение поломает совместимость с существующими инсталляциями и следовательно у тех кто хочет апгрейдится будут проблемы.
Нужно будет сделать ещё скрипт-конвертер.

И я нашел ешё одно место - там где пароль высылается на почту.
В принципе там тоже проблема решается - генерится новый пароль, и он сохраняется аналогично тому как это проиходит при изменении пароля пользователем.
Но только с теми модификациями которые я написал выше эта функция работать не будет, т.к. пользователю будет выслан хэш пароля.

Я всё прекрасно понимаю, что нужно кодировать пароли, НО в скрипте имеются уязвимости, которые можно вытворять зная чужой пароль. Я хочу найти максимальное кол-во таких уязвимостей и закрыть их и лишь затем взяться за проблему с паролями.

Обязательно буду убирать пароли в открытом виде, но позже, в версии 2.0 форума - которая и будет как раз полностью НЕ совместима по БД с предыдущими версиями форума.

Конечно, замена указанных выше строк это полбеды - нужно менять механизм блока "Забыли пароль".

ОГО! Еще черт знает сколько ждать...

WR,
Sorry, но чем отличается знание чужого пароля от знания своего собственного пароля с точки зрения поиска уязвимостей? И чем, с этой точки зрения, знание хэша - хуже?

Когда выйдет эта версия...я уже давно ждуууу

будет ли она бесплатна?

Точно не скоро. В 2007 году, наверное

Мдеее ну хотябы сообрази бету версию с зашифрованным паролем...мы смертные будем благодарны тебе

осенью возмусь за программирование.

Вот блин осенью эт тоже буит поздно....Админ прошу тебя от всех народов балтики НЕДАЙ ПОИМЕТЬ наши вр-скрипты зашифруй пароли плз