nicht angemeldet
Vielen Dank schonmal für die Antworten.
Aber wie gelangt der Server von
$1$Px1O9eOb$59wZSTeWPQmnDpgSdmmYC1 oder auch $1$iflq0o65$Dts4Szv/hVBm8Vzs40V/Y/ etc. an das Passwort "albert10"?
Lässt sich das verschlüsselte Passwort also doch auch wieder entschlüsseln? Wie macht Apache das?
$1$Px1O9eOb$59wZSTeWPQmnDpgSdmmYC1
$1$iflq0o65$Dts4Szv/hVBm8Vzs40V/Y/
^------^ ^--------------------^
A B
A ist der "Salt".
B der verschlüsselte Text
Der Algorithmus ist Apache bekannt - Apache macht jetzt folgendes:
Es nimmt das vom Benutzer eingegebene Passwort, hängt daran den Salt (gemäß dem Algorithmus) - also "A" - und lässt die Verschlüsselungsfunktion (bzw. Hashfunktion) drüber.
Das Ergebnis aus dieser Operation wird mit "B" vergleichen, ist es ident, ist die Wahrscheinlichkeit extrem hoch, dass es sich um das richtige Passwort gehandelt hat.
Im Fall von echtem MD5 z.B. 2^128 : 1 - was apache genau mit "MD5 modified for Apache" meint, weiss ich aber nicht - wird aber wohl die Darstellung betreffen, da diese offensichtlich nicht Hexadezimal ist :)
Allerdings verwirrt mich das jetzt auch wieder: da als alternative "systems crypt()" angegeben wird und das Unix-Crypt wie bereits erwähnt einen rotierenden Schlüssel verwendet.
MudGuard