Ein Loginscript

[woodfighter]

Tach,

Aber das,w as ich im Cookie speichere, hat ja so mit dem eigentlichen Passwort nichts mehr zutun.

Jörg hat durch draufschauen erkannt, was es ist.

Es ist quasi doppelt und dreifach gehashed. Und wenn man den Cookie richtig benennt, dann könnte eh keiner daraus schliessen, was die ganzen Werte in den Cookies zu bedeuten haben. Gut, das wäre dann wieder Security through obscurity. Aber ein doppelt, von mir aus 3 mal gehashter String? Um diese zu knacken, müsste ja erstmal festgestellt werden, wie oft ich es gehasht habe, um daraus dann das Passwort zu errechnen. Da nutzen Rainbowtable nicht viel.

Wenn es einen praktikablen Preimage-Angriff gibt, brauche ich keine Rainbow-Tables mehr; dann erzeuge ich passende Strings für einen Hash und kann vermutlich auch passende erzeugen, so dass sie mit deinem Salt beginnen; der Rest ist dann das Klartext-Passwort oder der Klartext-md5-Hash, der dann wieder erkennbar ist…

Weiterhin gehst du davon aus, dass ein Angreifer keinen Zugriff auf den genau von dir verwendeten Algorithmus hat; erfahrungsgemäß ist das ein Fehlschluss und es gibt Algorithmen, die diese Voraussetzung nicht brauchen, also verwende einfach diese. Crypt selber machen ist immer eine schlechte Idee.

Meinst du, das folgende könnte geknackt werden?

password = 4a4350df2403b94a13304ee88b861041

// Im Cookie z.B.
md5( md5(password ) )

Für mich ist es ja egal, wie oft ich die Strings hashe.

Für den Angreifer auch.

mfg
Woodfighter