phpdummi

wollt ihr euch eigentlich noch weiterstreiten?
wenn er der ansicht ist (und sich nicht von anderen überzeugen lässt)
das er kein passwort braucht DANN LASST IHN DOCH!


ich würde ihm das einfach so sagen:
warum machen es wohl 90% der Leute mit verschlüsselung?
be easy!

__________________
"Nobody is as smart as everybody" - Kevin Kelly
— The best things in life aren't things

Mister Ad

Waq

Das ist der worst-case, von dem ich hier normalerweise ausgehe.

Das kommt drauf an. Asymmetrische und symmetrische Verschlüsselungen gelten zwar als nur mit astronomischem Aufwand knackbar und dementsprechend sicher, aber der Schlüssel zum entschlüsseln der Passwörter liegt normalerweise auf dem System, dass heisst wenn der Angreifer vollen Zugriff hat, kann er die Passworter direkt entschlüsseln. Deswegen verwendet sowas keiner.
Gegen Prüfsummen und Passwortverschlüsselugen hilft nur brute-Force, wobei der Aufwand der Brute-Force-Attacke hier weniger vom Verschlüsselungsmechanismus abhängt als vom Passwort selbst. Ist dieses ein ganzes Wort oder ziemlich kurz, fällt es einer Wörterbuchgestützten Attacke ziemlich schnell zum Opfer.
Der Unterschied zwischen Salt und nicht-Salt ist folgender: Für gesalzene Passwörter muss man den Bruteforce-Aufwand für jedes einzelne Passwort betreiben, wogegen man bei ungesalzenen (oder gleich gesalzenen) Passwörtern reicht, den Aufwand einmal für die ganze Liste zu betreiben (im Zweifelsfall die ganze DB).

Kannst ja mal probieren, mit John the Ripper ein paar Passwörter zu knacken. Bei einer beliebig langen md5-gehashten Liste oder einer sehr kurzen Liste gesalzener Passwörter sollten in ein paar Stunden wohl die meisten schwachen Passwörter geknackt sein.
Hat man hingegen 1000 gesalzene Passwörter, könnte das auch ein paar tausend Stunden dauern, da der aufwand zur Anzahl der Passwörter proportional ist.

__________________
mod = master of disaster

Waq

Das habe ich mehrfach versucht, Dir beizubringen, ohne irgendwelche Hinweise darauf, dass es bei Dir angekommen ist. Du solltest vielleicht erleutern, welchen Teil davon Du nicht verstehst, denn sonst können wir es Dir nicht erklären.

Ach deswegen machen das ALLE Unixoiden Betriebssysteme so, weil es nichts bringt...

__________________
mod = master of disaster

phpdummi

@florianwendland:
worum geht es dir eigentlich?
willst du allen hier beweisen das du kein Passwort brauchst oder wie?
ich halt mich da raus ....

__________________
"Nobody is as smart as everybody" - Kevin Kelly
— The best things in life aren't things

Waq

Um die Frage des OP:
Ich habe keine Ahnung, wovon Du jetzt redest.

__________________
mod = master of disaster

Basti

Noch gefährlcher wäre es, die FTP-Zugangsdaten auf der Homepage zu veröffentlichen. *g* Aber darum geht es doch hier nicht. Es geht einfach darum, dass man versucht, den Schaden, der durch ein "gefallenes" System entsteht zu minimieren. Natürlich sollte das erste Anliegen sein, die Angriffspunkte auf das System selbst dicht zu machen, aber, wie gesagt, das ist ein anderes Thema.

Eben nicht. Das angegriffene Sytem ist futsch, okay. Aber, da eben Benutzer oft die selben Passwörter vewenden, ist dieses System als Subsystem eines größeren zu sehen, bestehend aus deren Mailboxen, Hosting-, eBay- und Amazon-Accounts - nicht zuletzt von deren eigenen Rechnern. Und hier gilt es, den Schaden weitgehend auf das Subsystem zu begrenzen und eine Ausweitung so gut als möglich zu verhindern.

Natürlich kannst du sagen: Meine Verantwortung als Webanwendungsentwickler endet an der Grenze dieses Systems - aber das ist ja nicht dein Argument contra eine Verschlüsselung der Passwörter in der Datenbank.

Insofern hab ich immernoch nicht kapiert, was denn nun wirklich dagegen spricht - das es Vorrangiges gibt, darüber müssen wir nicht streiten.

Basti

phpdummi

@Waq:
mein fehler!

__________________
"Nobody is as smart as everybody" - Kevin Kelly
— The best things in life aren't things