nicht angemeldet
Hallo,
Idealerweise werden alle Daten SSL-verschlüsselt übertragen.
SSL ist prinzipiell nicht mehr sicher.
Was willst du damit sagen? Dass SSL nunmehr sinnlos ist?
Ich habe ja den Eindruck, die kürzlichen »Leaks« haben hauptsächlich Fear, Uncertainty & Doubt über IT-Security verbreitet.
Das Hashen auf dem Client ist eher ein Sicherheitsverlust, weil man von einer clientseitigen Implementierung abhängig ist, die auf tausenden unterschiedlichen Geräten läuft und viel einfacher angreifbar ist.
Die meisten verbreiteten und gebräuchlichen Streuwert-Algorithmen sind Quelloffen, das ist bei kryptologischen Funktionen ein essentielles Sicherheitsmerkmal - ob das jetzt MD5 oder Blowfish ist, spielt keine Rolle.
Das ist korrekt, ich sehe aber nicht, inwiefern das auf meine Aussage eingeht. Der Browser ist keine sichere Umgebung für Kryptographie im Vergleich zum Server, bei dem Hard- und Software gegeben sind.
bei _neu schreiben_ eines Passworts übernimmt das der Server, bei jedem Login kann der Hash aber durchaus vom Client erzeugt werden - da dies durchaus die Sicherheit erhöht, da das Passwort auf dem Übertragungsweg nicht verloren gehen kann.
Mir scheint, du wirfst einiges durcheinander. Das Hashing mag vielleicht das Passwort während der Übertragung schützen, wenn ich davon ausgehe, dass die SSL-Verschlüsselung kompromittiert wurde. Es schützt z.B. nicht die Session bzw. den Account. Liest der Angreifer den Hash mit, so kann er sich damit beliebig oft authentifizieren. Es muss sogar erst der Salt zum Client übertragen werden, damit der Client denselben Hash produzieren und der Server beide Hashes vergleichen kann.
Mathias
Matthias Apsel