Southlinch

Hi zusammen

Hätte eine Frage ...
Ich will meine Passwörter sicher in meiner MySQL DB abspeichern, also dass falls einer iwie an den Hashwert kommt, er es richtig schwer haben soll ...
Also ich würde es so machen dass an das Passwort noch ein dynamischer Salt angehängt wird, dieser wird zufällig generiert (Klein- und Großbuchstaben, Zahlen, Sonderzeichen ... also bestimmt 90 verschiedene Zeichen und eine Länge von 32 Zeichen), das ganze soll mit SHA512 und Whirlpool gehasht werden ...

Meine Frage: Ist das so gut ?
Wenn nicht, was empfehlt ihr mir ?

Thx schonmal

Mister Ad

tr0y

Hast du vor explizit SQL-Injection zu ermöglichen oder wieso Suhaelisierst du Passwörter ?

__________________
Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

php.de

Warum hast du dich eigentlich für Whirlpool entschieden?

Southlinch

Was darf ich darunter verstehen ? ^^

@ Ist Whirlpool nicht gut ?

php.de

War nur eine Frage. Ich habe zuvor noch nie gesehen, dass jemand dafür Whirlpool verwendet hätte.

tr0y

Suaheli ( eigentlich Swahili ) ist der umgangssprachliche "Arsch der Welt der Sprachen", kaum gesprochen. Worauf ich dabei hinaus wollte war: Warum du einen Passwort-Hash so verschleiern willst, das es eigentlich nur Aufwendig ist ihn zu generieren und zu checken, er aber dadurch nicht sicherer wird.

Wär' prinzipiell das selbe als würdest du dir einen Logarithmus ausknuspern der hingeht und zuerst einen sha1 hash aus dem String erzeugt, dort Zeichengruppen zu 4 Einheiten pro Gruppe exploded, diese nach einem Prinzip mixt und das ganze dann wieder mit sha1 hashed.

Im Endeffekt betreibst du nur einen hohen aufwand der einen Hash eines Hashes erzeugt und erst dann überhaupt tangiert wird wenn bereits etwas passiert ist ( Anwendungskompromitierung ).

SHA256 oder SHA512 knackt bisher niemand, den Hash dann noch zu encrypten ist vielleicht vorausschauend gedacht, aber der Mühe nicht wert.

__________________
Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

Southlinch

Ah gut, weiß was du meinst ...
Hab mir dazu auch gedanken gemacht, das mehrfache hashen von Hashs, dachte aber wenn der Hash nur noch einmal wieder gehasht wird, dann ist das nichts schlechtes :/
Naja gut, werde dann nur SHA512 nehmen

meikel

Es ist sicher löblich, sich um die Sicherheit von Paßwörtern zu sorgen, aber wenn ein Bösewicht Zugriff auf die Datenbank hat und der Host somit kompromittiert ist, ist die Knackbarkeit der Paßwörter ein zweitrangiges Problem.

tr0y

hashof (( Salt ) + Plain-Password + Salt)

__________________
Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

Southlinch

Das sichere Abspeichern der Passwörter ist aber auch ein Teil der Sicherheit, darf natürlich nirgends ne Lücke geben ^^
... in der Frage ging es eben nur darum