Also gut, ich gebe mich geschlagen.
@Flocke:
Ja, das gefällt mir schon besser!
Da hätte ich eine andere (ähnliche) Idee:
Wenn man Challenge und Benutzername mitschickt, dann kann man ja durch ausprobieren auf den Passwort-Hash zurückschließen, von diesem dann auf das Passwort selbst.
Meine Idee also: Man überschickt nur Hash(Challenge+'*'+Hash(PW)) und den Benutzernamen; am Server wird nach einem Challenge, zu
IP & Benutzername passend, gesucht, der Hash aus diesem plus PW-Hash aus
DB erzeugt und dann mit dem Hereinkommenden verglichen.
Ein Mitlesender hat also Benutzername und einen Hash aus Challenge und PW, Challenge ist längst nirgends mehr gespeichert und so kann er auch nicht auf das PW zurückschließen.
Übrigens in diesem Fall wird das PW in der
DB auch nur geHASHt gespeichert, es hat zwar nur den Sinn, dass man das PW im Klartext für andere Accounts nicht verwenden kann, aber immerhin)
(Sowas gefällt mir!!
)
LG
PS: Endlich komme ich zum Abschicken, dauern neue Beiträge