sohei schrieb:
=> bei kleineres oder neueren anbietern wäre ich dort auch eher sehr vorsichtig, und ja du solltest davon ausgehen das sie die passwörter NICHT verschlüsseln
Eigentlich gerade nicht.
Kleine Unternehmen setzen im Web gern auf die gängigen Open Source - Systeme, z.B. für Shops oder Foren. Ich hab immer ein kleines Plugin im Browser mitlaufen (z.B. Chrome Sniffer), dass mir das wahrscheinlich verwendete CMS oder Framework anzeigt. Wenn ich da Systeme wie Magento, Joomla oder Contao sehe, dann weiß ich wie und wie stark da gehasht wird. Wenn ich hingegen nix sehe und auch der Quellcode nur ausspuckt,d ass es wohl eine hausgemachte Frickellösung ist, dann bin ich extra-vorsichtig.
was dir natürlich auch nichts bringt wenn größere unternehmen dies genauso machen weil eine IT abteilung mit leuten die sich etwas auskennen eben geld kostet
Ach komm. Selbst ein Anfänger dürfte inzwischen begriffen haben, wie das mit Hashing & Salts funktioniert, das weiß sogar der Praktikant... und gerade die Einsteiger musst du nicht teuer bezahlen, die sind oftmals noch billig.
Schlimmer sind die "alten Hasen", die heute noch so arbeiten wie Ende der 90er, und weil sie schon seit Gründung dabei sind redet denen auch keiner rein.
das ist schon richtig, aber ein passwort in klartext per email zu verschicken ist mehr als nur grenzwertig, ich würde es schon mehr als absolut fahrlässig einstufen
EIN Passwort im Klartext ist schon leidlich akzeptabel... wenn es ein generiertes Einmal-PW mit erzwungener Änderung nach Login ist.
Natürlich ist ein Reset-Request mit Mail-Link 1000x sicherer.
Jesterfox schrieb:
Theoretisch könnte das Passwort tatsächlich verschlüsselt gespeichert sein anstelle eines Hashs wie sonst üblich. Allerdings ist das nicht wirklich sicherer als Klartext, denn wenn jemand in das System eindringt ist die Wahrscheinlichkeit das er auch an die Passphrase zum entschlüsseln (die ja im System hinterlegt sein muss) kommt recht hoch.
Tja, das haben wohl inzwischen sogar die Vollpfosten bei
Adobe begriffen.... kann man zumindest hoffen. Der Leak kürzlich hat ja gezeigt, dass bei denen Passwörter symmetrisch verschlüsselt gelagert wurden... was natürlich grenzdebil ist. Schließlich muss das Login-System dann den Masterkey kennen, ein Eindringling hat den dann nach ein paar Minuten Code-Analyse rausgefunden.
Es ist eben leider tatsächlich noch illegal, die verantwortlichen Entwickler UND Entscheidungsträger kommentarlos in ein sibirisches Gulag zu schicken.
