Wie PWs u. Kontodaten speichern, wie mit Salts umgehen?

[Klaus]

Hallo,

Bei einem "festen Salt", Klaus nennt das anscheinend "HMAC", könnte man im einzelfall ne neue Rainbow Table mit speziell diesem "Salt" erstellen, wenn du ein zufälliges Salt nimmst, ist das nicht möglich.

Das nenn nicht nur ich so, sondern ist ein etablierter Begriff:
HMAC

Die Sicherheit von HMAC basiert einfach darauf, dass man diese 'feste Salt' benötigt um zu testen ob ein Hash zu einem Passwort gehört oder nicht.
Ist die 'feste Salt' ausreichend sicher, sprich lang genug, ist es einem Angreifer praktisch unmöglich irgendwelche Passwörter zu knacken. Er müsste zuerst diese feste Salt herrausfinden.

Wenn er aber nur die Datenbank hat, z.B. über SQL Injections oder über menschliche Fehler, wie es beim Woltlab Board war, kann er mit den Hashs nichts anfangen.

MFG