nicht angemeldet
Hallo Christian,
Mein Einwand hier bezog sich auf die Strecke zwischen PHP und MySQL und nicht zwischen Browser und Webserver.
Das hab ich auch gerade gemerkt.
Was Du hier vorschlägst, nennt sich Challange-Response - und dafür muss das Passwort auf dem Server im Klartext vorliegen, also genau das, was der OP nicht will. ;-)
Stimmt. Hab ich nicht dran gedacht.
Man *könnte* es aber so machen, dass der Server dem Client noch zusätzlich das Salt schickt, der dann erstmal damit den (hoffentlich korrekten) Hash auf dem Server zusammenbastelt und diesen dann nochmal mit dem zufälligen String des Servers gehasht zurückschickt. Nachteil ist, dass dadurch das Salt öffentlich wird, was der Sicherheit zwar sicher nicht besonders förderlich ist, aber auch keine großen Probleme verursachen sollte.
Also, der Server hat in der Datenbank:
Salt + MD5(Salt + Server_PW)
der schickt dem Client
Salt + Zufallstring.
Der Client macht daraus
MD5(Zufallstring + MD5(Salt + Client_PW))
und schickt das dem Server.
Der Server berechnet sich
MD5(Zufallstring + MD5(Salt + Server_PW))
und vergleicht das mit den Daten vom Client.
Da das aber eh nicht gefragt war, ist es wohl egal.
Jonathan