Benutzerdaten einer Website - weg von MD5

[generic]

Zu eurer Salt Diskusion:
ein MD5 hasht zu einer 128bit Zahl. Also gibt es 2^128 Möglichkeiten.

Wenn ihr einen Salt verwendet, bringt das keinen Unterschieden an den Möglichkeiten was aus dem MD5 rauskommt.

Richtige BF-Angriffe probieren eine Kollision zu finden.
D.h. einen Input welcher nach dem MD5 das gleiche Ergebnis hat.

Somit ist der Salt auch uninteresant, da sowieso das orginal Passwort niemals ermittelt werden kann.

Der Salt verhindert nur eines (wenn diese gut gewählt ist):
Passwörter bestehen im Normalfall auf Zeichen welche über Tastatur eingegeben werden können.
Meist sind Passwörter nur aus Buchstaben (ausgenommen Freaks welche natürlich auch Zahlen und Sonderzeichen verwenden).
Dadurch ergibt sich für ein 0815 Passwort pro Stelle 52 Möglichkeiten (26+26)

Erzeugt man nun eine Rainbowtabelle mit diesen 52 Zeichen pro Stelle is diese Tabelle kleiner als würde man eine Tabelle erzeugen, welche alle Zeichen beinhaltet.
Was ein Vorteil ist.
Diese kleine Rainbowtabelle wird ausgehebelt wenn ihr Salts mit Sonderzeichen verwendet, ggf. auch Zeichen welche NICHT eingebbar sind über Tastatur.
Diese verkürzten Tabelle werden meistens verwendet, um funktionierende Passwörter zu ermitteln.
Größere komplette Tabelle zu erzeugen, verbraucht massig Speicher und massig Zeit.

Wer mal ein einzelnes Passwort aus einen MD5 braucht, für den habe ich noch diesen Link:
http://md5.rednoize.com/