Login Sicherheit erhöhen

[ChrisB]

Hi,

es geht hier etwas der Sinn verloren, wenn du das, worauf sich Klawischnigg bezog, nicht mit zitierst. Ich habe mir erlaubt, es wieder hinzu zu fügen.

Das unsichere daran ist ja meines Wissens, dass mehrere verschiedene Nachrichten den selben Hash haben können.

Das ist aber nichts md5-Spezifisches sondern liegt in der Natur der Sache. Wenn Du eine beliebige Bytefolge/Nachricht/etc. auf 32 Byte "eindampfst", muss es logischerweise beliebig viele Nachrichten geben, die den selben Hash erzeugen.

Moment, er dampft doch nicht die daten auf 32 Byte ein sondern produziert eine Checksumme der Daten um zu schauen ob sie verändert wurden oder nicht.

Bei der Überprüfung eines Passwortes geht es nicht darum, Daten gegen Veränderung bzw. Manipulation abzusichern - sondern es geht darum zu überprüfen, ob der Nutzer ein gemeinsames Geheimnis kennt, um ihn darüber als zugriffsberechtigt auf einen bestimmten Inhalt/für eine bestimmte Aktion zu authentifizieren.

Eine Checksumme kann durchaus viel kürzer sein als die daten selbst und trotzdem mit extrem hoher Wahrscheinlichkeit Aussagen über die Gleichheit machen

Das hat aber wenig mit der Aussage oben zu tun.
Ein Hashverfahren, dass „alle“ denkbaren Nachrichten auf einen begrenzten Wertebereich abbildet, muss Kollisionen produzieren.
Das ist aber hinsichtlich der Sicherheit eines Authentifizierungsverfahrens nicht der Haupt-Schwachpunkt - sondern der Aufwand, der erforderlich ist, um *eine* Zeichenkette zu finden, die den gleichen Hashwert wie das eigentliche Passwort ergibt, bzw. die Wahrscheinlichkeit, mit der dies innerhalb einer bestimmten Zeitspanne möglich ist - weil diese Zeichenkette dann an Stelle des eigentlichen Passwortes verwendet werden kann.

Und in *dieser* Hinsicht ist MD5 inzwischen nicht mehr state of the art, und andere, stärkere Hash-Verfahren sind deshalb zu bevorzugen.

MfG ChrisB