Hash vers. Hash

[Google weiß alles]

Tach,

Und jetzt mir nicht mit der Nummer, dass der SHA384-Hash nur dazu diene, die Vollständigkeit und Korrektheit des Downloadvorganges zu verifizieren. Dafür hätte md5 oder sha1 völlig gereicht. Mit SHA384 wird hier lediglich PowerPoint&Buzzword-Freunden vorgemacht, wie fürchterlich sicher das doch alles sei... und bei SOWAS bekomme ich dann die von Dir erwähnten Bauschmerzen.

genau, warum nehmen wir nicht Technik, von der wir bereits wissen, dass sie zum Teil gebrochen ist,

So lange es nur darum geht, ob die Datei vollständig heruntergeladen wurde und das auf dem Datentransport kein Bitdreher stattfand, ist es völlig irrelevant, dass md5 und sha1 im Zusammenhang mit dem Speichern gehaschter Passwörter als "gebrochen" angesehen wird. Sogar crc32 (eher eine Art Quersumme) würde für diese Probe reichen. Mehr an Sicherheit wird hier nicht geboten, da der Hash ja aus derselben Quelle und auf dem selben Weg kommt wie die Daten. SHA384 ist hier deshalb völlig daneben.

Wer das Gegenteil zu behaupten wagt, der schaue sich an, warum md5 als broken angesehen wird und überlege bevor er schreibt! Für gehasht gespeicherte Passwörter ist die Verwendung von md5 ebenso wie sha1 oder crc32 natürlich zwischenzeitlich näher am Vorsatz als an einfacher Fahrlässigkeit, also grob fahrlässig.