Vorteile ein Passwort mit "Salt" zu speichern

[Christian Seiler]

Hallo suit,

Bevor wir uns in Details verzetteln:

Mir ging es um folgendes Angriffsszenario: User-DB-Dump landet durch irgend eine Lücke plötzlich in den Händen von $Angreifer. Der will die Passwörter knacken, um ins System zu kommen.

Meine Aussage ist lediglich, dass es einfache Maßnahmen gibt, die Rainbow-Tabellen (und auch flache) gegenüber Brute-Force unpraktikabel machen - und Salting i.V.m. mehrfacher Iteration der Hashfunktion (wobei jedes Mal der Salt wieder hinzugefügt wird) leistet so etwas. In dem Fall bleibt dem Angreifer dann wieder nur Brute-Force übrig - was aber dank der mehrfachen Iteration der Hashfunktion selbst sehr, sehr teuer wird.

Jemand mit ausreichend Hardware und Zeit wird sich daran natürlich auch nicht stören - allerdings kann man durchaus die Latte so hoch setzen, dass es sich selbst für die am besten ausgestatteten Angreifer nicht mehr lohnt, das zu versuchen.

Dein Vorschlag, einen geheimen (ich vermute in der Config eingestellten oder sowas) zusätzlichen Salt einzubauen, ist natürlich ein weiterer Baustein, der die Sicherheit erhöhen kann (aber nicht muss, hängt davon ab, ob ein Angreifer die Config gleich mitdumpen kann oder nicht) und der meine Vorschläge gut komplimentiert - aber nicht ersetzt.

Viele Grüße,
Christian

PS: Ja, mein Beispiel für einen Salt war nicht sehr gut gewählt. Deine Wahl war aber dann in die andere Richtung übertrieben.