Eine Priese Salz...

[RolandH]

Man nehme den AES-Hash und einen weiteren, geheimen AES-Hash, dem Site-Key. Diese werden nach dem PGP-Verfahren miteinander verrechnet. Dabei werden beiden Hashs zeichenweise durchlaufen und ein Modulo von den ASCII-Werten erzeugt. Dabei muss der Divident immer größer als der Divisor sein.

Anschliessend wird der ausgerechnete Wert in ein ASCII-Zeichen umgewandelt und so ein neuer Hash erzeugt. Diesem wird etwas Salz vorweggestellt und nach einer zufälligen Reihenfolge vermischt, die Reihenfolge wird natürlich wie der Site-Key geheim gehalten.

Danach hat man einen deutlich schwerer knackbaren AES-Hash. Für AES kann auch MD5 oder SHA1 eingesetzt werden. Klappt so prima.

Um eines vorweg zu nehmen: Das Durchmengen und das Salz verhindert nicht das Knacken des Hashes, sehrwohl erschwert und verwirrt es den Angreifer.

Ich nutze solch ein Verfahren in meiner freien Software und das erfolgreich. :) Mir sind nämlich geknackte Accounts noch nie zu Ohren gekommen, obwohl der finale, durchgemixte und versalzene Hash per Cookie rausgeht.

[linuxxer]

http://de.wikipedia.org/wiki/Kerckhoffs%E2%80%99_Prinzip

[RolandH]

/nt

[krummer Hund]

Beides findet sich im Klartext im HTTP-Header.

[RolandH]

Und zwar der versalzene und durchgewürfelte Hash. Und? :)

[test5555558]

versalzen ist ne gute möglichekeit wenn nur wennig hash im umlauf sind
aber auflösbar.
aufwand klar
durchgewürfelt mach die sache den schon echt schwer
aber nicht unmöglich
ist halt eine nutzen/auswand sache.

aber die metoden von rolandH finde ich schon mal garnet so schlecht.

[Linuxist]

Wir prüft man dann den Hash nach, wenn der verrechnet wurde. Will das genannte Verfahren auch gerne für meine Seiten einsetzen, aber am Verständnis scheitert es. Hättest du vielleicht ein paar Codebeispiele. Dann wäre es glaube ich leichter nachzuvollziehen.