Zitat:
du brauchst nach dem hashen eigendlich keine "gute" Verschlüsselung mehr das das hashen nur in eine Richtung geht. Das heißt wenn du das PW gehasht hast, gibt es keine Möglichkeit mehr das rückgängig zumachen. Was in der Parxis bedeuten würde, das du das PW eingibst, das dann auch wieder gehasht wird und dann mit dem andern verglichen wird.
Richtig, aber im Passwortsafe werden Passwörter verschlüsselt gespeichert damit sie so wie sie sind wiederverwendet werden können. Wenn sie als Hash-gespeichert würden nützen sie nichts mehr. Genau darazuf wollte ich hinaus.
Das was Du beschreibst ist gut für ein Login-System zur Überprüfung eines Login-Passwortes.
Bei einer Brute Force Attacke zum Knacken des Passwortes setzen wir voraus das das benutzte Verfahren bekannt ist. Also wird der Angreifer seine normalen Passwörter per Brute Force erzeugen. Diese dann per Hash-Funktion transformieren und dessen Wert als Passwort benutzen um zu testen ob er das richtig Passwort erwischt hat. Somit kein höherer Schutz ausser ein bißchen Zeitverlusst.
Die Sicherheit des Gesamtsystemes hängt also nur vom realen Passwort, und dessen Qualität, ab.
Es wäre dumm bei einer Brute Force Attacke nur ausgehend vom Hash zu testen. Viel besser ist es ausgehend von einem normalen Passwort, dieses zu hashen und dann diesen Key zu testen. Somit schützt eine Hash Funktion das Passwort NICHT bei einer Brute Force Attacke. Allerdings, es schützt vor Angriffen wie differentielle Kryptoanalyse. Bei diesen Angriffen bricht man von innen den Algorithmus und findet das binäre Passwort. D.h. aber auch das das Verschl. Verfahren absolut unsicher ist. Bei allen heutigen sicheren Verfahren geht man davon aus das eine Brute Force Attacke die einzigst mögliche Methode ist. Demnach ist es entscheidend mit heutigen Verfahren das die Passwörter enorm gute Qualität besitzen. Ein Passwortsafe kann dies besser als ein Mensch, vorausgesetzt der Safe wurde ordentlich konzipiert und implementiert.
Gruß Hagen