Wie PWs u. Kontodaten speichern, wie mit Salts umgehen?

[Sven Rautenberg]

Moin!

Also auf der Seite wird auch ein Improved Hash Algorithm angeboten.
Dies ist eigentlich einer der besten Möglichkeiten. Du hast eine salt sowie eine Key strengthening Methode und scheinbar kann man auch eine HMAC verwenden.

Ich bin mir bei der Idee, einfach MD5 auf das Ergebnis von MD5 anzuwenden, einfach nicht sicher, ob das nicht doch irgendwelche noch nicht entdeckten Ärgerlichkeiten birgt.

Schließlich bildet man damit eine bekannte Menge (nämlich alle 160-Bit-Zahlen in hexadezimaler Darstellung) wieder auf eine bekannte Menge (ebenfalls 160-Bit-Zahlen in Hex-Darstellung) - das halte ich qualitativ für etwas anderes, als wenn man beliebige Strings abbildet. Es würde sich da fast schon lohnen, dafür eine Rainbow-Tabelle auszurechnen, denn mit der kann man dann vermutlich jede beliebige Anzahl von Runden zurückrechnen, ohne den geringsten Mehraufwand.

Und sollte das tatsächlich mal jemand machen, kämen für ihn vielleicht interessante Muster zum Vorschein, die evtl. noch ganz andere Angriffsmethoden denkbar machen. :)

- Sven Rautenberg