<![CDATA[Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern?]]>Wie schon im Titel steht: Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern?

Client:

  • bekommt vom Server einen sha512-Hash von einer zufällig generierten Zahlenfolge zugesendet
  • hasht eingebenes Passwort mit sha512
  • hängt an das gehashte Passwort den Hash an, den er vom Server gekriegt hat
  • hasht das ganze nochmal und sendet es zum Server

Server:
Macht im Prinzip das Selbe, nur fällt das 1. Hashen weg, weil das Passwort schon gehasht in der Datenbank steht.

Ich denke, dass das ganze Verfahren schon ziemlich sicher ist. Selbst wenn jetzt jemand das Ding übers Netzwerk abfangen würde, könnte er nichts damit anfangen, weil da dieser zufällig generierte Hash mit drin steckt. Ich wollt nur mal wissen, ob ihr da irgendwo ne Sicherheitslücke entdeckt 😉 .

]]>https://www.c-plusplus.net/forum/topic/178455/wie-sicher-ist-folgendes-verfahren-zur-verschlüsselten-übertragung-von-passwörternRSS for NodeSat, 04 Jul 2026 22:04:44 GMTWed, 11 Apr 2007 12:26:07 GMT60<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 12:26:07 GMT]]>Wie schon im Titel steht: Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern?

Client:

  • bekommt vom Server einen sha512-Hash von einer zufällig generierten Zahlenfolge zugesendet
  • hasht eingebenes Passwort mit sha512
  • hängt an das gehashte Passwort den Hash an, den er vom Server gekriegt hat
  • hasht das ganze nochmal und sendet es zum Server

Server:
Macht im Prinzip das Selbe, nur fällt das 1. Hashen weg, weil das Passwort schon gehasht in der Datenbank steht.

Ich denke, dass das ganze Verfahren schon ziemlich sicher ist. Selbst wenn jetzt jemand das Ding übers Netzwerk abfangen würde, könnte er nichts damit anfangen, weil da dieser zufällig generierte Hash mit drin steckt. Ich wollt nur mal wissen, ob ihr da irgendwo ne Sicherheitslücke entdeckt 😉 .

]]>https://www.c-plusplus.net/forum/post/1263791https://www.c-plusplus.net/forum/post/1263791Wed, 11 Apr 2007 12:26:07 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 13:19:31 GMT]]>Das was du da vor hast, beschreibt im Großen und ganzen die Funktionsweise von HMAC (http://de.wikipedia.org/wiki/HMAC). Das ist sicher, solange der Hashalgorithmus unumkehrbar ist.

]]>https://www.c-plusplus.net/forum/post/1263832https://www.c-plusplus.net/forum/post/1263832Wed, 11 Apr 2007 13:19:31 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 15:28:33 GMT]]>Ich hoffe du glaubst mir, wenn ich dir sagen, dass ich mir das Verfahren, was ich hier beschrieben hab, selbst ausgedacht hab 😃 . Und ich glaub sha512 ist schon sicher genug, oder?

]]>https://www.c-plusplus.net/forum/post/1263919https://www.c-plusplus.net/forum/post/1263919Wed, 11 Apr 2007 15:28:33 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 19:25:06 GMT]]>Dr. C++ schrieb:

Ich hoffe du glaubst mir, wenn ich dir sagen, dass ich mir das Verfahren, was ich hier beschrieben hab, selbst ausgedacht hab 😃 . Und ich glaub sha512 ist schon sicher genug, oder?

Ich weis zwar nicht, wofür du die Authentifizierung einsetzen willst, aber im Allgemeinen sollte SHA512 mahr als ausreichen.

]]>https://www.c-plusplus.net/forum/post/1264144https://www.c-plusplus.net/forum/post/1264144Wed, 11 Apr 2007 19:25:06 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 21:18:20 GMT]]>@Dr. C++:
es sollte sogar MD5 sicher genug sein...

Der grosse Vorteil der Methode ist ja dass ein potentieller Angreifer nur testen kann ob ein Passwort stimmt indem er es mit dem Server ausprobiert, und der Server kann nach X falschen Versuchen leicht weitere Versuche verzögern oder den Account ganz sperren.

]]>https://www.c-plusplus.net/forum/post/1264212https://www.c-plusplus.net/forum/post/1264212Wed, 11 Apr 2007 21:18:20 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 22:32:48 GMT]]>Solange man nicht an die Hashs kommt, ist MD5 hier bestimmt auch tauglich.

]]>https://www.c-plusplus.net/forum/post/1264249https://www.c-plusplus.net/forum/post/1264249Wed, 11 Apr 2007 22:32:48 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 22:44:25 GMT]]>Dr. C++ schrieb:

... ob ihr da irgendwo ne Sicherheitslücke entdeckt ...

Die übliche immer : Wie gelangt der Hash des Passwortes in die Datenbank des Servers ?

]]>https://www.c-plusplus.net/forum/post/1264256https://www.c-plusplus.net/forum/post/1264256Wed, 11 Apr 2007 22:44:25 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 23:00:43 GMT]]>Ihr tut grad so als ob man jeden Tag mal eben so bei MD5 den Hash zurückberechnen könnte..

]]>https://www.c-plusplus.net/forum/post/1264261https://www.c-plusplus.net/forum/post/1264261Wed, 11 Apr 2007 23:00:43 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Wed, 11 Apr 2007 23:01:52 GMT]]>@Dr. C++ es ist ganz normal, dass Leute unabhängig voneinander auf ähnliche Lösungen für ein gegebenes Problem kommen.

]]>https://www.c-plusplus.net/forum/post/1264262https://www.c-plusplus.net/forum/post/1264262Wed, 11 Apr 2007 23:01:52 GMT<![CDATA[Reply to Wie sicher ist folgendes Verfahren zur verschlüsselten Übertragung von Passwörtern? on Thu, 12 Apr 2007 05:20:55 GMT]]>Klugscheiß0r schrieb:

Ihr tut grad so als ob man jeden Tag mal eben so bei MD5 den Hash zurückberechnen könnte..

Nein tut keiner. Man braucht ja nicht das original Passwort, sondern nur den Hash an den Server schicken. Für die Authentifizierung reicht das aus, wenn man einmal den original Hash mitgeschnitten hat. Dass das Passwort gehasht wird ist nur dafür da, dass man das original Passwort nich im klaartext lesen kann, aber bringt für die Authentifizierung kein mehr an Sicherheit. Also ist das Problem tatsächlich, dass der Hash irgendwie auf den Server kommen muss. Das könnte man natürlich über eine per SSL gesicherte Verbindung machen, z.B. die Account auf deinem Webserver mit SSL anlegen lassen...

]]>https://www.c-plusplus.net/forum/post/1264309https://www.c-plusplus.net/forum/post/1264309Thu, 12 Apr 2007 05:20:55 GMT