Unsichere Passwort-Hasches: Mit sowas landet man in der Zeitung

[Regina Schaukrug]

Hallo Regina,

wie kommst du darauf dass ich meine Passwörter als Klartext in der Datenbank speichere? So schaut es in meiner Tabelle aus

Weil ich in Deinem Quelltext nichts von der Bildung eines (salted) Hashes gesehen habe.

Oh Gott!

Was auch immer das für Hashes sind (ich sehe die Länge nicht) und ich hoffe nicht, dass gar etwas umkehrbar verschlüsseltes ist. (mit auf dem Server gespeicherten Schlüssel, was so sicher ist, wie den Schlüssel für einen Safe im Schreibtisch einzuschließen) Auch wenn es Hasches sind dann sind die, die ich da sehe, genau so gefährlich wie Klartextpasswörter, denn wenn es Hashes sind, dann sind diese ungesalzen. Auf jeden Fall hast Du nicht die password_hash()-Funktion oder deren Schwestern benutzt.

Und ja: Du musst das ändern. Sowas (unsalted hashes oder - DAS GENAU hast Du: Hashes mit einem nicht-individuellem salt) - hat man vor langer, langer Zeit so gemacht und DAMALS für "sicher genug" gehalten. Inzwischen kann man derlei sehr schnell knacken. Teraybyte-große SSDs für Rainbow-Tables sind im Konsumer-Segment angekommen, damit geht das richtig schnell.

Mit sowas landet man in der Zeitung.