Hallo Leute,
aus welchem Grund macht es denn Sinn inerhalb seines Scripts die Passwörter zu verschlüsseln. Die Daten gelangen doch im KLartext an den Server, abgesehen es wird SSL verwendet.
Und wenn die Daten am Sever angelabngt sind, für wen kodiere ich dann noch die Eingaben? Jeder Netzwerksniffer (ethereal lässt grüßen) schreibt die Daten doch vor dem Server mit. Wenn die Daten erst mal beim Server sind und das Script ausgeführt wird, ist doch die brenzlige Phase des Ausspionierens längst vorbei!
Oder habe ich mich da so geirrt?
Gruß
Florian Wendland

Mister Ad

Du codierst das passwort im Grunde nur für eine Datenbank.
Wenn das Passwort im Klartext in einer Datenbank gespeichert würde, und dies herauskommt, gibt ordentlich mecker

Du bekommst das passwort durch da Formular, verschlüsselst es, und vergleichst es dann mit dem Passwort welches verschlüsselt in der Datenbank liegt, ganz einfach.

bye Oecken

Okay, dass man das Passwort verschlüsselt in eine DB legt kann ich evtl. noch verstehen, auch wenn das eigentlich überflüssig ist. Das Passwort aus der DB wird ja von einem Script ausgelesen und gar icht via HTTP verschickt. Spricht, es gibt ja gar keinen Transfer des Passwortes.
Und wenn jemand sich in meine DB hackt, dann ist das verschlüsselte Passwort doch auch egal, denn dann ist die DB ja bereits geknackt.

Und der ganzen Schmarn von wegen Verschlüsselungsalgorithmen, welcher nun nun besser, sicherer ist, etc. ist doch eigentlich auch überflüssig. Wenn man eh nur für sich verschlüsselt, und das ganze prinzipiell genauso sicher ist, als würde man nciht verschlüsseln, warum wird denn so viel über die verschiedenen Algorithmen diskutiert?

Ein verschlüssteltes Passwort (z.B. md5) macht insofern Sinn, da auch der Admin bzw. der Webmaster der Zugriff auf die DB hat die Passwörter nicht sehen sollte. Es gibt immerhin viele Leute die das selbe Passwort so gut wie überall im Internet verwenden.

Das betrifft zum Beispiel den Fall ich ich von einem Freund gehört habe. Er ist Webmaster einer größeren Game Community Site und diese hatten kurzzeitig eine Konkurrenz. Der Admin der Konkurrenz hat aber die Passwörter seines Sitesystems nicht verschlüsselt, und da sich auch bekannte elite Spieler angemeldet haben, hatte dieser mit ein paar Passwörtern Zugriff auf die Gamingserveraccoutns dieser Spieler...

Um das zu verhindern nimmt man Checksum Funktionen wie md5 :wink:


greetz
xzibit

Waq

Nein, es ist eben nicht egal.
"DB geknackt, Passwort immer noch sicher" ist in diesem Fall der gewünschte Zustand.
Menschen haben ein begrenztes Gedächtnis und benutzen ganz gerne mal das gleiche Passwort an mehreren Stellen. Wenn die Passwörter bekannt werden, kompromittiert das mehr als deine Datenbank.

__________________
mod = master of disaster

Waq

Prüfsummen-Algorithmen benutzt man NICHT für Passwörter, dafür gibt es spezielle Verschlüsselungsalgorithmen.
Und um es ein für alle mal klarzustellen, md5 ist keine Verschlüsselung. Ich weiss, "Verschlüsselung" klingt besser, aber "f|cken" klingt auch besser als "wichsen" und trotzdem haben die Wörter verschiedene Bedeutungen.

__________________
mod = master of disaster

Alleine schon der Gedanke daran, dass meine Passwörter irgendwo in irgendeiner Datenbank unverschlüsselt liegen, läßt mir einen kalten Schauen über den Rücken laufen...

Und wenn es nur der Admin ist der zugriff auf die DB hat, das wäre eine Person zu viel die mein Passswort kennt!!

tja sry das ich deine achso guten PHP Kenntnisse beleidigt habe, indem ich sagte md5 wäre eine Checksum Funktion O_o
Es geht hier ums Prinzip und nicht um dein Ego...

Und ich verwende md5 für Passwörter meiner MySQL db, wie ach so viele andere auch. Es ist mir eigentlich recht egal was für eine Funktion md5 genau ist, solange sie ihren zweck erfüllt. Aber hier kommen ja die ganze Zeit irgendwelche php nerd comments..

Waq

Eben. Denn wenn es ums Prinzip geht, sind Verfahren ohne Salt, da viel zu Anfällig gegen Wörterbuchattacken, einfach Unsinn für die Passwortverschlüsselung.

Dass dieser Fehler von so vielen gemacht wird, und die auch noch meinen darauf bestehen zu müssen, wenn man sie darauf hinweist, dass sie Scheisse bauen, ist ja gerade dass, was mich so aufregt.

Sie erfüllt ihren Zweck eben nur unzureichend.

OMG, jetzt kommen die Universalbeleidigungen. Als nächstes wirfst Du mir vor, ich wäre neidisch auf dein Geschlechtsorgan. Waren wir gerade beim Thema Ego?

__________________
mod = master of disaster

Bis jetzt wars ja stinklangweilig: Prüfsumme ./. mcrypt

Aber jetzt wirds interessant:
Vielleicht isses das passende Gegenstück...?