Die sichersten Arten des Logins

[Robert Bienert]

Moin!

Eines fällt mir zu diesem Seitenarm der Ausgangsfrage noch ein:

Beispiel:
Ein Nutzer registriert sich. Das Passwort speicherst du verschlüsselt in der DB, verschlüsseln geht z.b. per MD5: http://de.php.net/manual/en/function.md5.php
ganz einfach $pass=md5($_POST[pass]);
und dann gleich nochmal:
$pass=md5($pass);

Grund:
Nehmen wir als Beispiel das Passwort "test".
Verschlüsselt ergibt dies "098f6bcd4621d373cade4e832627b4f6"
(kannste z.b. unter http://scriptserver.mainframe8.com/md5.php machen oder halt selbst n php script schreiben)
Das lässt sich relativ leicht per BruteForce knacken.

Das lässt sich auch recht leicht per Bruteforce knacken, selbst wenn ich keinen direkten Zugriff auf die Datenbank habe. Dein ganzer Ansatz geht davon aus, dass ich aber durch eine Fehlkonfiguration des Webservers an die DB komme. Für Svens und meine Attacke ist es aber vollkommen unerheblich, wie das Passwort in der Datenbank verschlüsselt ist, weil wir vorne ansetzen. Aber das dürfte geklärt sein, deshalb weiter:

wäre nun jedoch das Passwort "test" 2mal verschlüsselt, d.h.

Legen wir mal deine Logik dem folgenden Verschlüsselungsverfahren zu Grunde, unter der Prämisse, dass Rot13 ein Verschlüsselungsverfahren darstellt. Dann erhalten wir nach zweimal verschlüsseln wieder den Ausgangstext. Was haben wir dabei außer CPU-Abwärme gewonnen?

Viele Grüße,
Robert