AW: Salz und Hash in Datenbank speichern?
Zitat:
|
AW: Salz und Hash in Datenbank speichern?
Oder das von @BUG genannte 'PBKDF2' noch hinzufügen.
|
AW: Salz und Hash in Datenbank speichern?
@cookie22
Kommt ein Angreifer z.B. durch SQL-Injection an die Login-Tabelle (Username, Hash, Salt), kann er sein Dictionary entsprechend salzen... Wenn der Hash aber durch weitere nebendaten (z.B. dem gehashten Salt) nochmals gesalzen wird, ist der Aufwand wesentlich höher. Man müsste also genau wissen, WIE gesalzen wird. Ein einfaches Password+Salt ist meiner Meinung nach zu einfach. |
AW: Salz und Hash in Datenbank speichern?
Darum sollte man aber besser so etwas wie bcrypt nutzen. Das erhöht den Aufwant erheblich und wurde genau zu diesem Zweck entwickelt.
|
AW: Salz und Hash in Datenbank speichern?
Stimmt, so wird es kein bisschen sicherer.
Was man allerdings machen kann, ist
Delphi-Quellcode:
Damit kann man den Zeitaufwand fürs Knacken um das n-fache steigern. Hoffe ich hab jetzt keinen Denkfehler in dem Code... bin kein Kryptoexperte. Aber auf jeden Fall gibt es so eine Methode... bcrypt und Co. arbeiten glaube ich auch so ähnlich.
password := 'blume1234';
salt := irgendwas möglichst zufälliges; tmp := salt; for i := 1 to n do begin password := hash(tmp + password); tmp := hash(tmp) + password; end; // passwort und salt werden jetzt in der datenbank gespeichert. Zitat:
|
AW: Salz und Hash in Datenbank speichern?
Zitat:
Das stellt im Betrieb auch kein Problem dar, da ein Login meist nur einmalig passiert. Mehr Power kann man z.B. erreichen, indem man den Hash 100 mal mit den Salt hasht. Cracker-Bremse |
AW: Salz und Hash in Datenbank speichern?
Zitat:
Hier gibt es übrigens eine (imho gute) Übersicht über die Verfahren. Troy Hunt hat das Problem mal am ASP.NET Membership Provider verdeutlicht. Lesenswert und sehr anschaulich. |
AW: Salz und Hash in Datenbank speichern?
Wie wäre es wenn man zwischen jedem char ein bisschen verschiedenes Salz streut?
|
AW: Salz und Hash in Datenbank speichern?
Zitat:
|
AW: Salz und Hash in Datenbank speichern?
Mir ist immer noch unbegreiflich, warum ihr da alle selbst rumbastelt, anstatt bcrypt, scrypt oder in Gottesnamen auck pbkdf2 zu benutzen. Diese Verfahren sind alle erprobt und sicher.
|
Alle Zeitangaben in WEZ +1. Es ist jetzt 01:00 Uhr. |
Powered by vBulletin® Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024 by Thomas Breitkreuz