Kann Admin Passwörter lesen?

[egal88]

Hallo! Ich bin in einem phpBB Forum angemeldet und da bin ich heute auf einen Beitrag gelandet, wo sich der Admin über das Passwort von jemandem lustig gemacht, der gelöscht wurde. Zu Recht gelöscht, aber mich wundert das sehr, dass der Admin das Passwort kannte! Heißt das denn, dass er alle Passwörter kennt oder weiß jemand einen anderen Grund? Wenn der Admin sowieso den User löschen wollte, kann er dann vielleicht zuerst seine E-Mail ändern und vielleicht mehr und dann sein Passwort sehen? Ich finde es gruselig, dass der Admin vielleicht einfach alle Passwörter lesen kann. Ich danke euch sehr, wenn ihr mir helft zu erklären.

[hackepeter13]

Heißt das denn, dass er alle Passwörter kennt oder weiß jemand einen anderen Grund?

Nein, normalerweise kann er das nicht.
Passwörter werden verschlüsselt in der Datenbank gespeichert.

kann er dann vielleicht zuerst seine E-Mail ändern und vielleicht mehr und dann sein Passwort sehen?

Selbst wenn der Admin, die Email Addresse des betroffenen Users ändert, kann er das Passwort nicht sehen.
Wie auch, das Passwort steht verschlüsselt in der Datenbank egal welche Email Adresse der Admin verwendet es wird aus Sicherheitsgründen nirgends offensichtlich angzeigt.

Selbst wenn der Admin die "Passwort vergessen" Funktion mit dem betroffenen Usernamen und einer eigenen Email nutzt, bekommt er nicht das eigentliche Passwort, sondern ein neues Passwort (was zufällig generiert wird) zugeschickt.

ABER:
Da wir nicht wissen, was der Seitenbetreiber gemacht hat, ob er sein Forum so derart Modifiziert hat das er doch durch einfache Mittel Passwörter auslesen kann oder ob die Sache wirklich der Wahrheit entspricht, können wir dir nicht sagen.

[egal88]

Das klingt danach als ob nur alle Passwörter oder gar keines zu lesen sind. Und wenn er lesen kann, hat er absichtlich den Code modifiziert. Also glaube ich jetzt lieber, dass er gelogen hat mit dem Passwort des Users, oder dass er absichtlich die Passwörter zu lesen gemacht hat? Das ist beides nicht schön. Aber danke trotzdem für die Antwort!

[merk würdig]

hallo

eine frage - die verschlüsselten passwörter in der datenbank - werden die per salt verändert?
wenn nicht sind ja alle hashes identisch.

das wiederum heisst dass man recht einfach alle anwender erkennen kann welche '123456' oder 'password' und ähnlich banale sachen verwenden.

[hackepeter13]

eine frage - die verschlüsselten passwörter in der datenbank - werden die per salt verändert?

Warum fragst du nicht einfach mal die Forumsuche oder Google mit Begriffe wie "phpbb3 versschlüsselung" gleich das erste Ergebnis führt zu KB:md5

Weitere Themen wie Neue Verschlüsselung unter phpBB3 (Salz, md5 und Indianer) liefern dir auch eine Antwort wie:

phpBB3 verschlüsselt die Passwörter der User über md5 mit salt. Richtig?

Richtig.

Wenn mein Forum von phpBB2 konvertiert wurde, werden alle Passwörter erst mal ohne salt übernommen und erst beim nächsten Login mit Salt versehen. Richtig?

Richtig.

Das würde bedeuten, ich sollte allen Usern empfehlen, sich nach der Konvertierung zumindest einmal anzumelden. Korrekt?

Korrekt

[Passat]

Ich kenne auch die Passwörter einiger User.
Aber nicht, weil ich die in der Datenbank lesen könnte, sondern weil die User bei der Anmeldung unaufmerksam waren.
Die User haben in diesen Fällen Benutzername und Passwort zusammengeschrieben ins Benutzernamenfeld geschrieben und das nicht bemerkt.
Und ich habe einen Mod installiert, der alle fehlgeschlagenen Einlogversuche protokolliert.

Wie schon richtig bemerkt: Auslesen kann man die Passwörter nicht.
Damit der Admin da ran kommt, muß der Benutzer, wie in meinen Fällen geschehen, schon mitarbeiten.