nicht angemeldet
Hallo,
ich habe eine Verständnisfrage:
Mein Mailformular hält ein Feld "Passwort" bereit. In dieses gibt der User bei Registrierung sein Passwort ein. Dieses wird mit einem Hash der sha-Familie gehashed und in eine Datenbank geschrieben. Beim nächsten Besuch gibt er in obiges Feld wieder sein Passwort ein. Dieses wird mit dem selben Hash-Algorithmus gehashed und mit dem in der Datenbank verglichen.
Soweit, so gut. Nun liest man ja häufiger davon, dass man dem ganzen einen - am besten individuellen - Salt beimengen sollte. Was ich nicht verstehe... ein potentieller Angreifer penetriert via Brut-Force mein Formularfeld. Was genau hätte der Salt hier für einen Vorteil? Wenn er Name+Passwort richtig trifft, hat er doch sowieso Zugang...?