Perl: Sonderzeichen in Passwörtern

[JanW2]

Danke für die ausführlichen Infos!

Zwei Sachen:

1. Umsteigen auf ein modernes Hashverfahren, gerne. Funktioniert aber eigentlich nur auf folgendem Weg, oder? Nutzer loggt sich ein. Ich prüfe ob das gehashte Passwort nach altem oder neuen (neue Spalte in der Nutzertabelle) Hashverfahren vorliegt. Wenn Passworthash noch in der Spalte "alter Hash" vorliegt, dann authentifiziere ich den Nutzer nach dem alten Hashverfahren und bei gültigem Login hashe ich das eingegebe Klartextpasswort nach neuem Hashverfahren und speichere es dann in der Spalte "neuer Hash" ab. Den alten Hash kann ich dann ja prinzipiell löschen.

Zu deinem

es ist nicht mehr möglich, eine Rainbow Table voraus zu berechnen.

Ist es nicht egal, ob die Rainbow Table vorausberechnet wird? Wenn ein Angreifer eh die Daten hat, dann kann er das Klartext-Salt ja dazu verwenden, einfach eine neue Rainbow-Tabelle zu berechnen? Einzig was ich nicht abzuschätzen weiß: Wie lange das Berechnen einer solchen Tabelle dauert.

"Auge" schreibt in seinem Post ja

Mit hinreichend modernen Hashing-Methoden kann das schon einmal Monate oder Jahre an Prozessorzeit in Anspruch nehmen.

Gut, das ist ein Argument.

Und was ich bisher übersehen habe und wirklich ein wichtiger Punkt ist: Wenn "Auge" schreibt

Zudem ergibt der selbe Ausgangswert mit verschiedenen Salzen unterschiedliche Hashes.

Vielen Dank euch beiden!