max. Sicherheit beim Arbeiten von Login mit Sessions (PHP)

[Bademeister]

Hi.

Und MD5 ist nicht wegen Rainbow-Attacken unsicher - die kann man nun mal fuer jede Hash-Funktion gleichermassen durchfuehren, sondern wegen der Existenz von (einigermassen) effizienten Urbild-Attacken.

Und das verstehe ich nun wieder nicht. Dazu bin ich wohl zu verhasht ;-P

Eine Rainbow-Attacke besteht, vereinfacht, daraus, flaechendeckend von moeglichen Passwoertern die Hashes zu berechnen und das Ganze auf effiziente Weise zu speichern, um dann einen konkreten Hash darin zu suchen.

Das geht fuer *jede* Hash-Funktion - es steckt keinerlei Logik dahiner, die von der konkreten Funktion abhaengt.

Eine Urbild-Attacke ist ein konkreter Algorithmus, der zu einem konkreten Hash ein Urbild (also ein dazu passendes Passwort) ermittelt. Im Idealfall (aus Angreifer-Sicht) also eine mathematische Umkehrfunktion des Hashs. Bei einer guten (idealen) Hashfunktion gibt es sowas nicht, bei MD5 schon. Diese bekannten Angriffe fuer MD5 sind nun keine deterministischen Funktionen, die eben mal so aus dem Handgelenk ein Urbild ausrechnen, sondern verwenden intern immer noch einige (Sub-)Lookups, aber sie sind (je nach konkretem Hash) erheblich effizienter als Rainbow-Tabellen.

Kannst Du mir erklären, wie so eine Urbild-Attacke in der Praxis stattfindet?

Hash-Funktion verstehen, Umkehrfunktion schreiben, Hash reinstecken, Passwort rauskriegen. :-)

Viele Gruesse,
der Bademeister