Besserer Hash als MD5?
0 0 0 
Jonathan
Besserer Hash als MD5?
Hey ihr,
gibt es außer MD5 noch andere Hash-Algorithmen, die PHP(5) unterstützt, und die vielleicht besser bzw. sicherer sind? Was ist mit SHA oder was es noch so gibt?
Lg
Chris
-
Moin!
gibt es außer MD5 noch andere Hash-Algorithmen, die PHP(5) unterstützt, und die vielleicht besser bzw. sicherer sind? Was ist mit SHA oder was es noch so gibt?
Was sagt denn das PHP-Manual, wenn du nach "SHA1" oder "hash" suchst?
- Sven Rautenberg
--
"Love your nation - respect the others."-
Was sagt denn das PHP-Manual, wenn du nach "SHA1" oder "hash" suchst?
"Hallo",
ja die Frage war vielleicht nicht gut formuliert. Ich meinte eher: Macht es Sinn, statt MD5 etwas anderes zu verwenden? Ich entwerfe mir grad ein Portal, und denke grad über die Passwort-Verschlüsselung nach.
Meine Überlegung war, dass SHA oder etwas anderes vielleicht deshalb sicherer sind, weil sie einfach in Portalen weniger verwendet werden als MD5.
Lg
Chris-
Hi,
Meine Überlegung war, dass SHA oder etwas anderes vielleicht deshalb sicherer sind, weil sie einfach in Portalen weniger verwendet werden als MD5.
Eine sehr belustigende Überlegung.
Ciao, Frank
-
Eine sehr belustigende Überlegung.
Ja, ich konnt mich auch kaum halten vor Lachen ;-) Ist aber auch total sinnlos zu glauben, dass häufig verbreitete Produkte und Techniken häufiger Ziel sind, als wenig verbreitete. *scnr*
Chris
-
Moin!
Eine sehr belustigende Überlegung.
Ja, ich konnt mich auch kaum halten vor Lachen ;-) Ist aber auch total sinnlos zu glauben, dass häufig verbreitete Produkte und Techniken häufiger Ziel sind, als wenig verbreitete. *scnr*
Der Verbreitungsgrad ist aber kein Indikator für Sicherheit.
SHA1 und MD4 sind beide im Vergleich zu MD5 relativ unverbreitet. Nur: SHA1 wird als sicherer als MD5 betrachtet, hingegen ist MD4 tatsächlich unsicher (siehe Wikipedia). Andererseits sind sowohl gegen MD5 als auch gegen SHA1 Angriffsüberlegungen bekannt geworden, die durchaus Zweifel an der Unangreifbarkeit nähren.
Diese Zweifel beziehen sich aber nur auf die Schwierigkeit, zu einem bekannten Klartext mit errechnetem Hashwert einen anderen Klartext mit identischem Hashwert zu erzeugen. Dieser denkbare Angriff hat für das Hashen von Passworten aber praktisch keine Relevanz, weil erstens der den Hashwert erzeugende Klartext fehlt und zweitens solch ein Angriff dennoch alles andere als simpel und einfach ist.
Alle drei Hashmechanismen sind übrigens gleich anfällig gegen Rainbow-Tabellen, also vorherberechnete Tabellen von Hashwerten, zu denen jeweils einer der unendlich vielen Klartexte gespeichert ist. Dagegen hilft nur, das Passwort mit einem Salzwert zu ergänzen (ein fester Wert vernünftiger Länge, identisch für alle Passwörter, reicht schon aus, netter ist es, individuell pro Passwort ein Salz zu generieren - das muß dann allerdings auch mitgespeichert werden) - dadurch wird das Passwort so lang, dass es sich außerhalb des Erfassungsbereichs heutiger Rainbow-Tabellen befindet.
- Sven Rautenberg
--
"Love your nation - respect the others."-
Hallo,
vielen Dank! Die Idee mit dem Salzwert werde ich auf jedenfall aufgreifen... :-) Mein Portal habe ich bereits auf SHA1 umgestellt... das erscheint mir sinnvoll, allein dadurch dass SHA1 40 Bits umfasst.
Lg
Chris
-
-
Hi,
obwohl Sven ja schon (wie üblich ;)) genügend Klarstellung geschaffen haben sollte ...
dass häufig verbreitete Produkte und Techniken häufiger Ziel sind
Ziel von was bitte? Du kannst bei der Verwendung von MD5 oder SHA512 genau dieselben Fehler machen. Oder anders formuliert: Du wirst um den Faktor 1000 eher ein Sicherheitsloch in deiner Anwendung um den Hash herum hinterlassen, als dass ein Fehler mit einem selbst theoretisch bewiesenen möglichen Angriffsverfahren für den Hash ausgenutzt werden müsste.
Nur noch nebenbei: das, was selten/wenig benutzt wird kann ebenso Fehler beinhalten, weil es selten/wenig benutzt wird (und u.U. noch niemand einen Exploit publiziert hat).
Ciao, Frank
-
-
-
-
-
Hello Du, selber hey,
wo bist Du im Moment?
gibt es außer MD5 noch andere Hash-Algorithmen, die PHP(5) unterstützt, und die vielleicht besser bzw. sicherer sind? Was ist mit SHA oder was es noch so gibt?
Gibt's da kein Wikipedia? *gg*
http://de.wikipedia.org/wiki/Md5
und dann ganz unten schauenHAVAL | MD2 | MD4 | MD5 | N-Hash | SHA | Snefru | Tiger | RIPEMD-160 | Whirlpool | CRC32 | LM hash
Die Linkliste ist äußerst interessant.
Harzliche Grüße vom Berg
http://bergpost.annerschbarrich.deTom
--
Fortschritt entsteht nur durch die Auseinandersetzung der Kreativen
Nur selber lernen macht schlau
Ein Jammer ist auch, dass die Dummen so selbstsicher und die Klugen voller Zweifel sind. Das sollte uns häufiger zweifeln lassen :-)
-
Hallo Chris,
gibt es außer MD5 noch andere Hash-Algorithmen, die PHP(5) unterstützt, und die vielleicht besser bzw. sicherer sind? Was ist mit SHA oder was es noch so gibt?
SHA1 ist durchaus eine Alternative. Kommt aber immer drauf an wozu du es brauchst, MD5 kann immernoch sinnvoll verwendet werden.
Jonathan