Klamm-Passwort in Datenbank verschlüsseln

[Drrichardfahrer]

Da ich gerade erfahren habe, dass die Passwörter nicht verschlüsselt sind, möchte ich eine Umfrage starten - sollen die Klamm-Passwörter in der Datenbank verschlüsselt werden oder nicht?

 

[Querulant]

Auf jedenfall, da dies ein super hohes Sicherheitsrisiko birgt. Aber wenn der Admin, in diesem Fall Lukas, nach folgender Auffassung arbeitet:

dann bekomm ich 12936123mails mit
"ich hab mir eben mein pw zuschicken lassen .... wenn ich jetzt das pw eingebe [ALTES_PASSWORT] komm ich nicht mehr rein!!!!!einself"
"ja sie haben jetzt auch ein neues"
"aber ich hab mein PW schon 30 jahre und immer ging es"
"es musste aber neu generiert werden"
"wie komm ich jetzt rein?"
"mit dem neuen"
"ist das das gleiche wie das alte?"
"nein das wurde ihnen eben zugeschickt"
"also ich hab hier eine mail da steht mein normales passwort drin"
"ja die mail ist schon alt"
"da kam aber keine andere mail"
"doch"
"nein"
"doch die is im spamfilter"
"nein ich nutze aol"
"ja genau deshalb"
"soll ich jetzt den provider wechseln?"
"nein einfach das neue pw eingeben und dann im profil ändern"
"wie komm ich ins profil wenn ich mich nicht einloggen kann mit meinem normalen pw?"

Dann denke ich wird er es nciht machen, da dies arbeit bedeuten würde

 

[back4ever]

was heisst sollte...muss man!

nicht auszudenken wenn ein Hacker sich dort mal Zugriff verschafft
das kann dann verdammt teuer werden.

 

[Benutzer-42]

was heisst sollte...muss man!

nicht auszudenken wenn ein Hacker sich dort mal Zugriff verschafft
das kann dann verdammt teuer werden.

teuer wird es nur, wenn der User dann aber so blöd ist, und überall sein Passwort gleich hat ...

 

[flashas]

Kinder ..

1. Bei der Masse an Pw's und DAU's ein paar Rainbowtables ...
2. Wenn es um ein spezielles PW geht (man beachte nochmal die Dau-Menge), dann reichen für son 6stelliges PW 2-3 C2D's ..
2. md5: Na super ...

 

[Benutzer-42]

Kinder ..

1. Bei der Masse an Pw's und DAU's ein paar Rainbowtables ...
2. Wenn es um ein spezielles PW geht (man beachte nochmal die Dau-Menge), dann reichen für son 6stelliges PW 2-3 C2D's ..
2. md5: Na super ...

das ist es ja ...
jemand, der wirklich Schaden anrichten will, dem ist das egal ..

 

[Drrichardfahrer]

Und welche Verschlüsselungstechniken verwenden dann die Banken und so?? Oder haben die die ganzen Online-Banking Passwörter auch einfach so gespeichert

 

[klamm]

Und welche Verschlüsselungstechniken verwenden dann die Banken und so?? Oder haben die die ganzen Online-Banking Passwörter auch einfach so gespeichert

Wer weiss ... ?

 

[Benutzer-42]

Und welche Verschlüsselungstechniken verwenden dann die Banken und so?? Oder haben die die ganzen Online-Banking Passwörter auch einfach so gespeichert

den Verschlüsselungsalgorythmus für Banken, den kannst du hier wohlkaum anbringen ... du schreist hier nach md5 .. das ist, verglichen mit den Banken, ein Witz ...

also bitte, nicht hier Birnen mit Möhren vergleichen

 

[Querulant]

Die sind auch im Klartext gespeichert, da die Deutsche Bank sonst unter Umständen Supportanfragen bekommen könnte^^

Desweiteren kann ein Kunde so sein Passwort mehr Post zugeschickt bekommen ohne eine Tan für die Passwortänderung nutzen zu müssen, da sie im "Klartext" zugeschickt wird

 

[raven]

Ich habe für "Ja" gestimmt, aber nicht mit MD5.
Dieser Hashalgorithmus ist einfach zu unsicher, und bringt (nahezu) nichts. Wenn, dann sollte man etwas anständiges benutzen. SHA1 ist auch bereits geknackt, meiner Meinung nach aber aufgrund des benötigten Rechenaufwands immernoch mehr als ausreichend.

 

[No5251]

1. Bei der Masse an Pw's und DAU's ein paar Rainbowtables ...

Bei der Masse an DAUs mit 123456(7890) als PW?!
Ich denke jeder billige Wörterbuchangriff führt hier schneller ans Ziel
als jedes andere Angriffsszenario.
Daher wäre wohl der erste richtige Schritt gen "mehr Sicherheit" eine
Passwortüberprüfung.

SHA1 ist auch bereits geknackt, meiner Meinung nach aber aufgrund des benötigten Rechenaufwands immernoch mehr als ausreichend.

Wie wäre es einfach gleich mit SHA2?

 

[Benutzer-6744]

Dafür..
Gründe sollten aus einem bestimmten Thread von heute bekannt sein..
LG

 

[atwo]

Soll das ein Witz sein oder werden die PWs wirklich nicht verschlüsselt?

 

[Drrichardfahrer]

OK, ich kenn mich da auch net wirklich aus, aber kann man zur Zeit MD5 schon erfolgreich zu 100% entschlüsseln (und zwar in absehbarer Zeit)??

 

[Querulant]

OK, ich kenn mich da auch net wirklich aus, aber kann man zur Zeit MD5 schon erfolgreich zu 100% entschlüsseln (und zwar in absehbarer Zeit)??

Wenn ich "Raven" in ICQ richtig verstanden habe, ja.

 

[atwo]

OK, ich kenn mich da auch net wirklich aus, aber kann man zur Zeit MD5 schon erfolgreich zu 100% entschlüsseln (und zwar in absehbarer Zeit)??

Meines Wissens nach nicht, und Bruteforce auf MD5 dauert etwas...

//edit: Ok, Andre sagt ja, dann schließe ich mich dem mal an, bin auch nicht auf dem aktuellsten Stand

 

[raven]

Kommt drauf an, was du unter "in absehbarer Zeit" und unter "100%" verstehst ...

Es gibt im Prinzip zwei Möglichkeiten, wenn du Rechenkapazität und Zeit hast:
1. Du findest das Ursprungspasswort
2. Du findest eine Kollision des jeweiligen Hashes

Die Passwörter lassen sich nur bis zu einer bestimmten Länge zurückerlangen, eine Kollision findest du ziemlich häufig.
Wer sich dafür interessiert, kann ja mal nach mdcrack googlen

 

[No5251]

Das ist er schon seit über 1,5 Jahren.

Einfach mal nach "MD5 Collision Generator" suchen ...

 

[Drrichardfahrer]

Ja, davon hab ich eh auch gehört, aber ich hab widerum auch gehört, dass es trotzdem mehrere Jahrzehnte dauern soll bis die BruteForce-Attacke greift