UNIX: crypt

[sakura]

Danke für Eure Hilfe, ich bin mit folgender Lösung gegangen, da es diese inkl. Soße für USD 18 zu kaufen gibt.

http://www.appcontrols.com/components.html (UnixCrypt)

[negaH]

UNIX crypt nutzt zwar DES als Grundlage, modifiziert aber die DES permutations Tabellen. Allgemein wird durch Crypto-Gurus angenommen das dies eine sehr schlechte Methode ist, denn dadurch wird die Sicherheit vom DES erheblich auf unvorhersehbare Weise geschwächt. Wenn man auf UNIX crypt verzichten kann und die Wahl hat eine eigene Funktion zu benutzen so würde ich eine Hash Funktion benutzten die das Passwort + Zufallssalt hascht. Der Ausgabewert + der Zufallssalt werden gespeichert. Beim Login wird nun dieser Salt geladen und wiederum mit dem Passwort gehasht. Das Resultat muß mit dem gespeicherten Vergleichwert übereinstimmen wenn das Passwort identisch ist.

Gruß Hagen

[sakura]

Hi Hagen,

was Du noch so auskramst Wir mussten halt mit dem Unix-Crypt gehen, da der Kunde damals sämgliche Passwörte so codiert hatte. Das knacken ist auch recht einfach, aber halt nicht für alle 150,000 Passwörter in einem sinnvollen Zeitrahmen möglich gewesen. Na ja, also haben wir es dabei belassen Ein weiterer Nachteil ist, daß das UnixCrypt nur auf 8 Buchstaben verschlüsselt, längere Passwörter ergeben mit gleichem Seed den gleichen Hash

......