Der Artikel ist etwas ungenau, weil er suggeriert, dass ein Passwort, welches "hashed & salted" ist, nicht lesbar ist. Dabei ist auch ein Passwort, welches nur "hashed" ist, nicht lesbar.
Dazu muss man wissen, wie Passwörter in Datenbanken hinterlegt werden. Dass man sie nicht im Klartext speichert, sollte sich mittlerweile hoffentlich herumgesprochen haben. Deshalb hashed man die Passwörter mit einer Zeichenkette, um sie nicht direkt lesbar zu machen. Weil aber viele Passwörter zu kurz und deshalb anfällig für Brute Force Attacken sind, sollte man sie noch "salten". Man hängt eine Zufallskette an das hashed Passwort, um den Brute Force zu verlangsamen. Unknackbar wird ein Passwort dadurch nicht, wohl aber macht es einen Unterschied, ob der Brute Force etwa um den Faktor 10 verlangsamt wird. Das Knacken des Passwortes wird so unattraktiv. Das schützt aber trotzdem nicht vor einem Zurücksetzen des Passwortes, denn mit genügendem Aufwand ist auch das hashed & salted Passwort knackbar.
Deshalb hat Evernote auch gleich alle Passwörter zurückgesetzt. Nicht wegen akuter Gefährdung, sondern potentieller Knackbarkeit. Auch wenn man nicht weiß, wie die Hacker an die Passwörter und Logindaten gekommen sind, man hat absolut richtig reagiert.
In diesem Zusammenhang wäre es einmal von Interesse, wie Computerbase die Passwörter speichert und, um etwas in die Tiefe zu gehen, etwa wie viele Runden gehashed wird.
