"nicht pauschal unsicher"? - Nicht ausreichendes Problembewusstsein!

[Regina Schaukrug]

Wie gesagt, man sollte die vorgesehenen Funktionen nutzen, trotzdem sind andere Umsetzungen nicht pauschal unsicher.

Doch. Weil diese die Sicherheit womöglich auch anderer Dienste beschädigen.

Grund:

Kommt eine hinreichend kriminelle Person in den Besitz der Datenbank und des Salts (oder dessen Berechnung...), dann kann und wird diese diese Datenbank und den Salt verkaufen. Die Datenbank enthält einen Nickname.

Diese Datenbank gerät nun in die Hände von weiteren, spezialiserten Kriminellen mit den technischen Möglichkeiten (oder sogar eines Geheimdienstes). Ein paar SSDs, ein paar Recheneinheiten wie sie auf Grafikkarten sind oder gar für SHA-X spezialisierte ASICs genügen um in vertretbarer Zeit die Passwörter zu den Nicknamen zu berechnen.

Diese Daten geraten an Dritte, welche diese Kombinationen nutzen um sich bei anderen Diensten mit diesem Nickname und dem Passwort (Erzähl mir nicht, es sei der Job des Nutzers für jeden Dienst ein eigenes Passwort zu verwenden - die machen das nicht!) anzumelden oder z.B. via Google die zugehörige Mailadresse herauszufinden und dann auch Mailadresse + Passort zu versuchen.

Und wenn das an der oder den richtigen Stelle(n) passt, dann hat die hier vorliegende, unsichere Implementation womöglich ganz wesentlich dazu beigetragen, die Existenz eines der Nutzer, vielleicht sogar des Betreibers zu vernichten.

Willst Du daran teilnehmen, in dem Du das beschönigst?

Die Umstellung auf die derzeit nicht als unsicher verpönten Methoden ist zumutbar.