nicht angemeldet
Hi,
Was ich hier noch anmerken würde: wenn ein Angreifer einen DB-Dump hat, dann hat er mehr als nur die Passwörter und je nach Anwendung wären die vielleicht das letzte worum ich mir dann sorgen machen müsste...
Ja. Username, Rolle, CustomerID, LastIp, LastHost, Logincount, FailedloginAt, Failures, Disabled, CreatedAt und UpdatedAt. Die Adresse, E-Mail und Kontoinformationen liegen in einer anderen Anwendung. ;)
Was ich damit sagen will: nicht soviel in die Passwortverschlüsselung stecken, sondern lieber in die Sicherheit des DB-Servers selbst.
Per SSH mit Public-Key auf dem DB-Server anmelden, dann an die nochmals passwortgeschützte Datenbank. Reicht das? ;) Patches etc. sind natürlich auch drauf.
Nur wollen wir gerne alle Löcher stopfen, deswegen machen wir jedes Glied so sicher wie möglich, auch wenn es noch schwächere Glieder geben sollte.
Der Yeti