vorläufiges Ergebnis: Sicheres Arbeiten mit Sessions / Login

[Tom]

Hello,

Dann müsste man sich erkundigen, (ob et)was gegen die Verwendung des Usernamens als Salt spricht.

Darüber habe ich gestern schon nachgedacht, als ich mein eigenes Loginsystem anhand der Anregungen dieses Threads untersucht habe.

Der Username als SALT darf keinesfalls verwendet werden, da er
1. bekannt sein kann (Social Engineering, zugucken bei der Eingabe)
2. beim Login über das Netz gejagt wird und damit ebenfalls wieder bekannt ist.

Der Salt sollte aber außen unbekannt bleiben.
Es kann für jeden User ein anderer benutzt werden. So habe ich es zur Zeit gelöst.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg