WEBDUS

Hallo Leute,

wie sicher ist eigentlich MD5 verschlüsselung?

Gibt es sicherere Methoden ausser ssl?

Gruß

Mister Ad

nikosch

Wie doll nach Apfel schmeckt eine Birne?

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

Wolla

Manko10

MD5 ist unsicher, SHA1 ist mittlerweile unsicher. Demnächst soll SHA3 kommen, das wird auch mit steigender Rechenleistung unsicher werden und SSL ist so sicher wie der generierte Schlüssel.

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

robo47

Und um es nicht zu vergessen: md5 ist KEINE VERSCHLÜSSELUNG.
Mit md5 bildet man einen Hashwert den man nicht eindeutig wieder umwandeln kann.

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

Flor1an

Wie nikosch schon sagt, du kannst md5 nicht mit Sicherheit vergleichen. Eher mit Integrität. Und dafür sollte es ausreichend sein, so schnell treten Kollisionen nicht auf. Die Frage ist auch immer wofür du es verwenden willst. Für die meisten Anwendungsfälle sollte es ausreichen.

Wolla

Wie schon an anderer Stelle oft ausgeführt, ist md5-Hashing sicherer als die dollste Verschlüsselung.

Im worst case bekommt ein Angreifer die komplette Userdatei mit Passworten und dazu die Scripte in die Hände, die mit dieser Datei arbeiten. In den Scripten muss die Methode zum Entschlüsseln der Daten abgebildet sein. Der komplette Schutz ist also durch den Diebstahl ausgehebelt, die Daten können einfach entschlüsselt werden.

Wenn die Passwörter hingeben mit statischem und dynamischen Salt gehasht werden, dann können Sie auch nach Bekanntwerden der Salt-Methode nicht mit trivialen Mitteln in Klartext zurückverwandelt werden.

Squall

Mich würde mal interessieren was du mit dynamischen Salt meinst? stelle mir das gerade vor das der salt z.b. aus dem timestamp plus irgendwas besteht, wobei für mich die frage dann aufkommt woher du wissen willst welches pw mit welchen salt gehasht wurde?

robo47

in den salt kann z.b. das anmelde-datum des users mit einfließen, seine emailadresse oder sonst eines der Felder was eine pflichtangabe ist

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

Jens Clasen

Du musst als dynamischen Salt schon was nehmen, was Du kennst. Der zugehörige Username oder auch die ID wäre sowas.

Gruß Jens