crypt von Perl oder Md5 von MYSQL (Allgemeines zu Perl)

[thread]6791[/thread]

crypt von Perl oder Md5 von MYSQL

ppm1

2005-03-14 22:27

User since
2003-09-14
142 Artikel
BenutzerIn
[default_avatar]

Hallo

Ich möchte euch bitten folgende Frage zu beantworten:

Was sind die Vor und Nachteile von der Funktion:
crypt die Perl zu verfügung stellt
und MD5 die die Mysql-Datenbank hat.

Also cih möchte ein Passwort eines Users sicher in einer MYSQL-Datenbank Speichern.

Was ist da ratsam von den beiden und warum?

Bitte auch auf Geschwindigkeit und Belastung eingehen.

Danke.

esskar

2005-03-15 00:49

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

ist beides nicht sicher.
Nimm lieber Sha1 oder noch besser Sha256!
Von der Performance her zwar ein wenig "langsamer" aber auf jeden Fall wert!

ppm1

2005-03-15 23:28

User since
2003-09-14
142 Artikel
BenutzerIn
[default_avatar]

Hat sonst keiner Infos darüber?

esskar

2005-03-15 23:31

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

[quote=ppm1,15.03.2005, 22:28]Hat sonst keiner Infos darüber?[/quote]
Es ist eben schon alles gesagt;
crypt knackt man dir in 5 Minuten und MD5 dauert auch nicht viel länger!\n\n

Dubu

2005-03-16 10:35

User since
2003-08-04
2145 Artikel
ModeratorIn + EditorIn

user image

[quote=esskar,15.03.2005, 22:31][quote=ppm1,15.03.2005, 22:28]Hat sonst keiner Infos darüber?[/quote]
Es ist eben schon alles gesagt;
crypt knack ich dir in 5 Minuten und dauert auch nicht viel länger![/quote]
Hm. Das moechte ich jetzt schon gerne mal sehen. :)
DES-Crypt, manchmal inzwischen auch MD5, sind immer noch die Standardmethoden, um Linux/UNIX-Passwoerter zu verschluesseln. Bei Angriffen darauf werden eigentlich immer noch reine Brute-Force-Angriffe benutzt.

Hier ist ein altes Passwort von mir, einmal mit Standard-DES verschluesselt, einmal mit MD5 (beides mit crypt(1); der Punkt am Ende gehoert jeweils dazu! ):

Code: (dl )

1
2

DES: xy9iP/VK.Huo.
MD5: $1$qAffwo34$xtCayDPpOyrkqAW2ejmE6.

Noch ein Hinweis: Das Passwort ist 9 Zeichen lang, d.h. Standard-DES kappt es bei 8, fuer MD5 brauchst du ein Zeichen mehr.

Und als Beweis, dass ich nicht pfusche: Der folgende Abschnitt ist mit GnuPG und dem gleichen Passwort wie oben verschluesselt.

Quote
-----BEGIN PGP MESSAGE-----
Version: GnuPG v1.4.0 (GNU/Linux)

jA0EAwMCUu/W95g65BRgyYcjO5Rj09n8EDpug9TfmvW0XSE0fHoJBkhoFgDg9//K
/PHXAMxOfLNEJO1I5BzSZhJte2RZBJQwBiM4H8mADx53SCkbkOnLNdt/HsFNiaay
t0wz+GodbXP9puAbJlBQ2Z+2fT/9MCR8piD+iTsWbJXhHfuXnAy9SzDqyG1T8kFu
IPs/ZZUhW6g=
=JByZ
-----END PGP MESSAGE-----

Viel Spass! :)

Ronnie

2005-03-16 13:52

User since
2003-08-14
2022 Artikel
BenutzerIn
[default_avatar]

Also john braucht schon für 3 Zeichen 3:46 Minuten. 4 Zeichen mehr als 1:30 Stunden (habe dann abgebrochen). Und das für Standard-crypt auf halbwegs aktueller Hardware. Bei 8 Zeichen sollte es schon sehr heftig sein. Glaube nicht das esskar es mit vernünftigem Zeitaufwand packt, außer das Passwort hält einer Dictionary-Attack nicht stand. Ich bin gespannt!

EDIT1: Mit der mmx-Version von john beschleunigt sich die Sache deutlich. Ich probiere mal wielange es bei 4 Zeichen dauert.\n\n

ppm1

2005-03-16 14:11

User since
2003-09-14
142 Artikel
BenutzerIn
[default_avatar]

also was ratet ihr mir soll ich verwenden?

GwenDragon

2005-03-16 14:21

User since
2005-01-17
14784 Artikel
Admin1

Ich rate zu einer Kodierung mit SHA1.

Code: (dl )

use MIME::Base64;  # http://www.cpan.org/modules/by-module/MIME/
use Digest::SHA1;  # http://www.cpan.org/modules/by-module/MD5/
my $plain = "Passwort"; # Passwort unverschlüsselt
my $crypt = '{SHA}' . MIME::Base64::encode_base64( Digest::SHA1::sha1( $plain ) ); # als BASE64 verschlüsselt, {SHA} als Kennung zum Unterschied zu MD5 und Crypt-Passwärtern
# falls mal gemixt wird (kommt vor);)

\n\n

die Drachin Gwen

Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten

esskar

2005-03-16 14:25

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

okay; kanns wohl nicht auf anhieb;
aber es wird schon...

Ronnie

2005-03-16 14:28

User since
2003-08-14
2022 Artikel
BenutzerIn
[default_avatar]

[quote=ppm1,16.03.2005, 13:11]also was ratet ihr mir soll ich verwenden?[/quote]
SHA1 ist sicher eine gute Idee wie esskar und GwenDragon schon gesagt haben. Da bist du auf der sicheren Seite.

View all threads created 2005-03-14 22:27.