LaTeX Forum

Hallo!
Beim ändern meines GoLaTeX Passwortes ist mir ein offensichtlicher Fehler in der Foren-Software aufgefallen.

Mal abgesehen davon, dass der Login hier sowieso recht unsicher ist, da Passwörter wohl im Klartext übertragen werden, wollte ich dennoch die angegebene Maximallänge von 32 Zeichen voll ausschöpfen. Das hat schon einmal nicht funktioniert, denn auch bei einem Passwort mit genau 32 Zeichen Länge erhielt ich die Fehlermeldung, dass das Passwort doch bitte nicht länger als 32 Zeichen sein soll.
Ich probierte es darauf hin mit 32 Zeichen, und in der Tat ließ sich das Passwort dadurch ändern. Allerdings wurde ich dann, nachdem ich mich aus- und wieder einloggen wollte, ausgesperrt! Obwohl ich das richtige Passwort und meinen Nutzenamen eingegeben habe, wurde mir entgegnet, dass Passwort oder Nutzename nicht stimmten. Da half nur ein klick auf "Passwort Vergessen?", um ein neues Passwort zu generieren.
Ich habe ein bisschen getestet, und herausgefunden, dass die wahre Maximallänge eines Passwortes auf dem GoLaTeX Forum 25 Zeichen beträgt. Wird das Passwort länger, kommt man nicht mehr in seinen Account. (außer eben mit einem Passwortreset)

Ich weiß nicht, ob es irgendjemanden gibt, der sich um solche Technikfragen bezüglich des Forums kümmert, aber falls eine solche Person existiert, weiß diese wohl jetzt, was es zu tun gibt.
Ich wünsche noch einen angenehmen Abend.

Hallo,

Danke für die Info! Ich kümmere mich um die technischen Sachen.

Das Limit von 25 Zeichen schaue ich mir an. Ggf. muss ich das (oder die Beschreibung) ändern. Wird vmtl. erst Mittwoch, da ich bin dahin auf Reisen bin mit sporadischem Internet-Zugang.

Die Passwörter werden verschlüsselt gespeichert. Ja, mit http werden sie umverschlüsselt übertragen und jemand könnte sie mitsniffen. Umstellung auf https steht noch aus, da sind ein paar kleine Hürden zu nehmen. Generell sollte man im Internet keine Passörter angeben, die wichtig sind. Ist es ein Passwort nur für goLaTeX.de, würde ein Hacker auch beim Abhören nichts gewinnen, außer dass er mit einem geklauten Passwort Beiträge schreiben oder oder eigene des Accounts löschen (allgemein lasse ich täglich automatische Backups auf externen Server laufen). Wie gesagt, https ist geplant, nur eine Zeitfrage und technische Sache zu lösen. Insbesondere automatisierte https-Zertifikat-Generierung, automatisierte Erneuerung (die einzige kostenfreie Zertifikats-Stelle LetsEncrypt bietet nur 90 Tage Gültigkeit, was man regelmäßig daher erneuern muss). Alle inneren Links müssen auf https umgestellt werden. Und man müsste Zwangs-Umlenken auf https, sonst straft google duplicate content bei https und http ab; verliert man Relevanz bei Google bei Umstellungen wird es auch fatal, und es kann User/Browser geben, die LetsEncrypt nicht akzeptieren. Sollte sich aber lösen lassen.

Stefan