Beispiel für Login

[Camping_RIDER]

Aloha ;)

Passwörter als Klartext zu hinterlegen ist keine gute Idee. Besser man speichert nur einen gesalzenen Hash.

Man salzt doch Hashes vor allem dafür, damit in einer Passwortdatenbank gleich gewählte Passwörter eben nicht den gleichen Hash bekommen.

Die Anforderung war hier aber nicht die Erstellung mehrerer Logins, die in einer entsprechenden Passwortdatenbank vorgehalten werden, sondern ein einzelnes Passwort, ohne Benutzername.

Man kann den Hash also salzen, hat aber in dem Anforderungsfall keinerlei Sicherheits-Plus dadurch. Natürlich sollte man Passwörter als gesalzenen Hash speichern, nur war hier die Rede von ein (und nur ein) Passwort.

So viel zum Salz im Hash bei diesem Anwendungsfall.

Das Speichern von Passwort-Hashes bietet vor allem zwei Sicherheitsvorteile:

1.: Ein externer Angreifer kann durch Abgreifen des gespeicherten Datenbestands die Passwörter nicht in einer Form bekommen, mit der er sich einloggen kann

2.: Ein interner Mitarbeiter kann die Passwörter nicht im Klartext aus dem System bekommen und sich damit woanders einloggen, falls der Benutzer sein Passwort in mehreren Systemen benutzt.

Vorteil 1 bleibt auch in diesem Anwendungsfall bestehen. Vorteil 2 wird in diesem Anwendungsfall völlig nutzlos, da das Passwort nicht personalisiert ist und sowieso von einem Internen vergeben wird; und da es sich hier um die Preisseite handelt sind Menschen mit Zugriff auf das System sowieso von der Teilnahme ausgeschlossen.

Das Hashen ist also durchaus durch Systemsicherheit begründbar, falls ein Sicherheitsbedürfnis gegenüber externen Angreifern, die die Datenbank gehackt haben, überhaupt besteht.

---

Wir wissen beide, dass du im Allgemeinfall Recht hast. Aber ich finds schwierig, immer mit allgemeingültigen Antworten aufzuwarten, die die Bedürfnisse des Anwendungsfalls nicht mit einbeziehen.

Grüße,

RIDER