Lernfragen und Praxis · 2 Antworten
STARTBEITRAG
Für ein Modell einer Anmeldung: Der Server muss prüfen, ob das eingegebene Passwort stimmt. Er muss das gespeicherte Passwort nicht wieder anzeigen können. Dann brauche ich Passwort-Hashing und keine reversible Verschlüsselung, richtig?
Richtig. Dafür ein geeignetes Passwort-Hashverfahren mit Salt und abgestimmtem Aufwand verwenden. Ein schneller allgemeiner Hash allein ist für diesen Zweck keine gute Wahl. Die Bibliothek sollte Prüfung und Parameterformat übernehmen.
Und bitte keine eigene kreative Mischung aus zweimal hashen und einem geheimen Trennzeichen. Die Kreativität lieber in einen verständlichen Ablauf für Passwortwechsel stecken.