Bonaparte

ich habe mir gerade sagen lassen dass man paaswörter, die mit md5 verschlüsselt wurden mit hilfe von bestimmten programmen und biesschen zeit entschlüsseln kann. wie viel ist an der sache dran? ich kann mir das zwar nicht vorstellen, kann mich aber auch irren.

__________________
MfG David
axinio Internet Marketing - professionelle Suchmaschinenoptimierung

Mister Ad

Wenn man etwas über die Unsicherheit von Hashmethoden wie md5 oder sha1/256/... liest, geht es bisher immer darum, dass Angriffe mit weniger (zeitlichem) Aufwand als Bruteforce ermöglicht werden. Aber auch dafür benötigt man den md5 Hash als Vergleichswert. Sofern dieser also nicht öffentlich gemacht werden muss, sollte auch dieser nach Möglichkeit geschützt werden.
Es gibt Datenbanken für md5 Hashes. Die meisten davon entweder für Wörter bis 5/6/x Zeichen (Passwörter kürzer 6 Zeichen sind also bestenfalls lachhaft) bzw die natürlichen Worte einer Sprache (also nicht ein "normales" Wort aus dem Duden wählen). nippon_72_sumo halte ich zB für ziemlich sicher.

andy

Erstmal, zum eine millionenstenmale: md5 bildet einen HASH keine Verschlüsselung.

Also kann ein MD5-String nicht entschlüsselt werden, es gibt aber durchaus Programme, die nach der Bruteforce-Methode ein Passwort nach dem anderen Hashen und gegenchecken, aber das ist extrem zeitaufwendig, ab 5 Zeichen (a-z A-Z 0-9) dauert es es schon ewig, und wenn in dem Passwort noch ein ASCII Zeichen drinne ist, kannst du es fast vergessen

__________________

Dragon26mFR

__________________
Das Leben ist ein scheiß Spiel, aber die Grafik ist einfach geil

Waq

Diese Berechnungen sind vielleicht prinzipiell richtig, aber in zweierlei Hinsicht am Thema vorbei:

Erstens ist die Berechnung der Grösse des Suchraumes nicht genug, man muss auch dessen Komplexität mit einbeziehen, und die ist nunmal nicht maximal (dann entspräche sie der Grösse). Wer richtig Ahnung von Kryptographie hat braucht nicht den gesamten Suchraum abzugrasen.

Zweitens wird eine Brute-Force Attacke hier nicht gegen die Komplexität des Hash-Raumes durchgeführt, sondern gegen die Komplexität des Passwortes selbst.

Vierstellige Passwörter sind bei md5() schneller geknackt als getippt, dafür gibts Datenbanken (weswegen echte Passwortverschlüsselungen mit Salt arbeiten), und die allermeisten Passwörter mit weniger als 6 oder 7 Stellen sind per Brute-Force in endlicher Zeit zu knacken, wenn man mal den Hashwert in den Fingern hat. Für normale Anwendungen sollte man mindestens 8-stellige Passwörter nehmen, für sichere nochmal zwei drauf.

__________________
mod = master of disaster