Sicherer Javascript Passwortschutz ?!

[Novi]

Hallo,

Der Sinn von gehashen Passwörter ist nicht (und war nie), das Login sicher zu gestalten, sondern das Klartextpasswort zu schützen.

Wenn der Server aber direkt den Hash-Wert und nicht das Passwort selbst zu Authentifizierung haben will, dann reicht es einem Angreifer den Hash des Passwortes zu kennen. Das Passwort selbst hätte keine Bedeutung, da der Hash vom Passwort immer dann gesendet wird, wenn man ansonsten das Passwort im Klartext gesendet hätte. Du schützt zwar das Passwort, aber für einen Angreifer reich es dadurch aus, nur den Hash zu kennen. Also ist es sinnlos dieses Passwort zu schützen. (Zumindest auf diese Weise)

Sinvoll könnte es nur werden, wenn man das Passwort mit einem vom Server vorgegebenen Wert, der sich jedes mal ändert, kombiniert und einen gemeinsamen MD5-Wert berechnet. Dadurch würde man zwar immer das gleiche Passwort abfragen, aber durch den vom Server generierten Wert, immer einen anderen Hash-Wert verlangen.

Sinnvoll zum Schützen der übertragenen Daten ist ein etablierter Mechanismus wie SSL.

Damit hast du natürlich recht. Aber das wollte ich mit meinem Satz auch nie infrage stellen.

Das Verfahren hätte jedoch den Nachteil, dass der Server auch das Passwort selbst und nicht nur seinen Hash kennen muss, da man nur mit dem Passwort den jeweils von einem weiteren Wert abhängenden Hash berechnen könnte.

Unsinn, der Server könnte kann nach denselben Regeln den Hash behandeln und den ebenso behandelten Hash in seiner Datenbank vergleichen.

Du musst mich falsch verstanden haben. Der Nachteil bezog sich auf meinen Vorschlag oben, bei dem der Server immer einen Wert, der in den Hash mit einfließt, an den Clienten sendet. Somit wäre der Hash immer unterschiedlich.

Viele Grüße Novi