Fikse passordhåndtering

[mboehn]

Fra gammelt av så hasher man passordene med MD5 og lagrer en MD5-hash av de.
Med tiden så har man sett at MD5 ikke er egnet til passordhashing.

For å ivareta passord dersom en database kommer på avveie e.l. så bør man bruke en moderne løsning. Se http://php.net/manual/en/faq.passwords.php for noen tips.

Ved overgang til ny løsning, må man enten nullstille alle passordene, og la brukerene sette nye ved hjelp av passordnullstilling (epostbekreftelse) eller lage en overgangsløsning hvor man bruker passordet (etter at det er verifisert mot MD5-hashen vi har) og lagrer en ny hash ved hjelp av moderne funksjoner.