Passwörter WÜRZEN (SALT, PEPPER)

[@MNFire-b3i]

Wie immer geiles und informatives Video 💪🏼

[@Florian.Dalwigk]

Merci!

[@campercat5342]

Sword Art Online

[@Florian.Dalwigk]

:)

[@retronic5324]

Ich verstehe net wer Sao hasst... also ernsthaft wtf >¶< (bearbeitet) lol dieser Kommentar war random.... Aber es gibt echt viele Leute die Sao net mögen..find ich schade

[@eleasar2181]

Cooles und informatives Video. Das man ordentlich salzen sollte war mir bekannt, gepfeffert hab ich bis jetzt aber noch nicht.

[@Florian.Dalwigk]

Die Mischung macht's. Jetzt werden deine Passwörter noch besser schmecken ;)

[@lhurgoyfwitcher7553]

Ich habe auch schon gehört dass leute paprika und Rosmarin verwenden.

[@Florian.Dalwigk]

Schmeckt bestimmt auch gut.

[@quirkyquark_]

Gut gewürztes Video!

[@Florian.Dalwigk]

Haha, danke :) Ich freue mich, dass ich deinen Geschmack getroffen habe!

[@DJTechnostyler]

Jap, das Video bringt's mal auf den Punkt. Salt alleine bringt mal so gar nix, wenn der Mechanismus des Salzens selbst zu einfach ist. Da muss man sich schon was ausdenken, damit das auch wirklich wirkt. Pfeffern ist auch supi, aber nur so lange, wie der Pfeffer nicht offensichtlich ist. Ich verwende bei dem Teil gerne mal code obfuscation. Der Pepper ist im ganzen System verteilt und wird sehr kryptisch zusammengesetzt. Das ist besonders bei Sprachen wie JavaScript wichtig, da diese nicht kompiliert werden. Wenn dann noch Anwendungsserver und Datenbank auf der selben Maschiene laufen ist ein einfaches "In einer config-datei" auch wieder Schmarrn. Am besten heißt die variable dann noch pepper.

[@eisvogel.1481]

Sehr schmackhaft! :)

[@Florian.Dalwigk]

Die Mischung macht's :D

[@jjhh1023]

Danke ich glaube das Video hat mir vllt theoretisch geholfen

[@codebrothers5544]

Guter Content!

[@Florian.Dalwigk]

Vielen Dank! Es freut mich, dass dir mein Content gefällt :)

[@suchtendolp644]

Es gibt auch Hash-Algos die für Passworthashing ausgelegt sind wie PBKDF2. Würzen diese die Passwörter auch automatisch, sodass man bis auf den Hash generieren und speichern gar nichts mehr tun muss oder wo genau liegen die Vorteile bei denen? Sind sie schneller?

[@Florian.Dalwigk]

Standardisierter

[@Robert-ox9tl]

Perfekt :)

[@Florian.Dalwigk]

Merci :)

[@qiup9240]

Food Wars! Shokugeki no Soma hätte besser als Anime dazu gepasst :3 (Aber ehre das du SAO genommen hast!)

[@Florian.Dalwigk]

Haha, Food Wars wäre perfekt gewesen ;)

[@flexiorange3048]

Cool! Pfeffer kannte ich bislang garnicht. Nur zum Verständnis: Jedee Nutzer bekommt ein zufällig generierten Salt, der wird am besten in einer anderen Datenbank oder cfg Datei gespeichert (im Klartext)? Und Pfeffer kann hardcoded im Quellcode stehen, oder? Wie sieht es da mit der Datensicherheit aus? Ich kann ja bei kompilierten Dateien den Code teilweise dekompilieren oder auf die entsprechende PHP Datei auf dem Server zugreifen. Das wäre ja nur semi sicher.

[@Florian.Dalwigk]

Ja, das hast du richtig verstanden :) Das Pepper gilt für alle Benutzer gleichermaßen (ist dafür aber zusätzlich geschützt). Ja, man könnte das durch Dekompilieren herausbekommen (doch auch das ist nicht immer möglich). Es dient vor allem dazu, den Angreifer zu verlangsamen (aufhalten kann man ihn in der Theorie nämlich nicht). Nur ein Pepper zu verwenden, halte ich für problematisch (ein Gericht, das nur mit Pfeffer gewürzt wird, schmeckt schließlich auch nicht ;)). Die Kombination aus Salt und Pepper ist schon recht sicher, zumal man ja erstmal an die Daten kommen muss, in denen das Pepper gespeichert ist.

[@schwingedeshaehers]

@@Florian.Dalwigk ich denke mit etwas Aufwand ist es immer möglich Strings die mit anderen Dingen interagieren müssen aus dem Code herauszufinden notfalls bei bekannten Verfahren durch brutforce mit bekannten pw und Salt

[@DerTolleIgel]

2:05 Moment, warum sollte der angreifer die zeit mit dem hash berechnen verbringen? Das salt liegt doch auf dem zielsystem und nicht beim client und der hash wird dort berechnet .. oder war das darauf bezogen, dass man zugriff auf eine db hat und nun die Passwörter aus den hashes holen will?

[@Florian.Dalwigk]

Man hat DB Zugriff

[@frankhelferichbonn]

Sehr gut erklärt. Werde Dein Video weiterempfehlen, wenn Kollegen sich mit dem Hashen nicht recht auskennen. [klugscheissen on] Die gängigen Hashfunktionen basieren meines Wissens nach aber nicht (wie asymmetrische Kryptosysteme) auf den Mathematikproblemen, sondern auf komplexen Verschiebungen, Vertauschungen und Wechseln auf Bitebene, was sie erheblich schneller und hardwarenäher macht. Allerdings ist asymmetrische Verschlüsselung auch ein guter Hashersatz, wenn die Inputlänge konstant und geeignet ist. So kann man ggf. den Nachschlüssel für Strafverfolgung realisieren, weil der Gegenschlüssel im Tresor bleibt oder gleich beim Gericht hinterlegt ist. [klugscheissen off]

[@Florian.Dalwigk]

Danke für dein Feedback :) Ich gebe dir Recht: Viele Hashfunktionen basieren nicht auf konkreten Mathematik*problemen*.

[@sammondicon6937]

Verstehe ich es richtig, dass salzen und pfeffern aufgabe der website ist, die ich besuche? Und nicht meine aufgabe. Das meine aufgabe lediglich darin besteht ein langes, gutes passwort zu wählen?

[@Florian.Dalwigk]

Ja

[@AddGaming.]

Ich bin jetzt (leider oder glücklicherweise) auch mit der Aufgabe betreut ein log-in verfahren zu implementieren. Pfeffer in den Scource-code zu schreiben bekomm ich hin, aber mit dem salzen bin ich noch etwas verwirrt. Mein naiver Ansatz wäre jetzt, einfach eine zweite Datenbank für die Salze zu machen. Aber wie Speicher ich die sicher ab? Die gehashed zu speichern und dann zu enthashen um sie an das User Password dran zuhängen klingt ja relativ dumm, weil zum hashen ja Einwegsfunktionen benutzt werden. Im Klartext bringts mir ja aber auch nicht viel, weil wenn die erste DB weg ist, die zweite ja eventuell mitbetroffen sein kann. Kann mir jemand gute rescourcen zu dem Thema empfehlen oder einen Ansatz geben?

[@rufi4you]

Hallo, gut erklärt. Gibt es dazu auch ein Video wie man dass z.b. mit VBA in MS Access macht. Danke und Gruss aus der Schweiz.

[@Florian.Dalwigk]

Ich habe dazu noch kein Video erstellt. Viele Grüße in die Schweiz.

[@Florian.Dalwigk]

In Python hab ich das mal gemacht.

[@rufi4you]

@@Florian.Dalwigk Danke, da frage ich mich doch: Planst Du mal eins zu machen. würde sicher vielen helfen

[@Florian.Dalwigk]

Ich überlege es mir

[@leckertoastbrot6532]

zum Passwort sichern braucht man Salt und Pfeffer. (Haha, sehr witzig. Was willst du jetzt damit sagen?) Dies findet man auch in der IT Sicherung (warte mal, was? Das war kein Witz? o.o)

[@Florian.Dalwigk]

Nein, das war kein Witz ;)

[@caneishappy]

0:44 haha die Namen :D

[@Florian.Dalwigk]

Erkannt? :)

[@NoName-1337]

Da du dich ja mit dem Thema relativ gut auskennst: Eine Frage zur Passworthashing. Welcher Hashingalgo wäre deiner Meinung nach am besten bzw. kann man irgendwo nachsehen, welcher Algorithmus derzeitig am sichersten angesehen wird. Ich würde gerne eine Passworthashfunktion sicherer machen, als diese gerade ist.

[@Florian.Dalwigk]

MD5 ist bspw. nicht sicher ( siehe BSI: www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/cyberglossar/Functions/glossar.html?cms_lv2=9817296 ). Sicher ist aktuell SHA-512. Eine Liste ist mir nicht bekannt.

[@NoName-1337]

@@Florian.Dalwigk Genau, ich hab mich da auch ein wenig drüber Informiert. Wir verwenden z. B. auch nen Algo, der über Rotationen und Iterationen das ganze berechnet (Ich denke, es hieß PBKDF2 mit 10000 oder 100000 iterationen). Aber wie 100% sicher dieser ist, kann ich jetzt nicht sagen. Ich werde mich weiter über die SHA algos mich mal informieren. Dankeschön :)

[@Florian.Dalwigk]

@@NoName-1337 Das Thema ist sehr komplex und mathematisch hoch anspruchsvoll. Wenn du einen "neuen" Hash-Algorithmus entworfen hast, schaue ich mir den gerne mal an :)

[@NoName-1337]

@@Florian.Dalwigk ​ Ne dieser ist schon existent. Ich bin nicht in der Materie so weit fortgeschritten, um einen sicheren Algo zu schreiben. Ich weiß auch, dass man es am besten auch lassen soll, wenn man wenig Ahnung von der Materie hat :D. Meine Implementation gleicht diesem hier cmatskas.com/-net-password-hashing-using-pbkdf2/. Ich verwende allerdings 10000 oder 100000 statt 1000 Iterationen. Und ich denke, dass ich da n paar mehr Bytes verwende. Ich muss mal noch mal nachsehen, die Implementierung ist bereits über 3 Jahre alt (Kann mich da nicht mehr an alle Einzelheiten erinnern)

[@florian2119]

Danke sehr Informativ, auch wenn ich alles schon wusste. Wo bleibt der Discord-Server?

[@Florian.Dalwigk]

Langsam reicht es mit den Nachfragen nach dem Discord!

[@Ollital]

Salt 'n' Pepper, bekomm ich sofort nen Ohrwurm.

[@Florian.Dalwigk]

Ist das ein Lied?

[@Ollital]

@@Florian.Dalwigk Salt 'n Peppa ist eine Mädels Hip-Hop Band, die vor allem in den 90ern sehr aktiv waren.

[@hannes8231]

Ist am sichersten (Starkes Passwort+ salz&Pfeffer + 2-Faktor dings), oder geht es noch besser?🙃

[@Florian.Dalwigk]

Sicherer geht immer ;) Doch das sollte schon sehr sicher sein!

[@Bene31]

Aber, was ich nicht ganz verstehe: Wie sollte ich das Salt speichern? Wenn jemand auf die Datenbank Zugriff hat, hat er ja auch das Salt, und somit ist es wieder relativ einfach, oder nicht?

[@Florian.Dalwigk]

In einer anderen Datenbank oder einer speziell geschützten und geloggten Konfigurationsdatei.

[@Kampfzwerg87]

@@Florian.Dalwigk Wo würdest du die Config-Date ablegen und wie würdest du die Config-Datei absichern? Ich würde eine salt.conf in /var/www ablegen und dem user und der group www-data zuweisen mit den Berechtigungen -rw-------.

[@g_ytgss2074]

Asuna und kirito aus sao????

[@Florian.Dalwigk]

Jepp

[@SoyaroNightmare]

Überlegung: Hash von Benutzername und Passwort. der Hash des Passwortes wird ausgewertet, um zu entscheiden, ob für den nächsten Schritt der Namens- oder der Passwort-Hash verwendet wird. Der gewählte Hash wird ausgewertet, um nach der selben Auswertung wie oben zwei Werte zu ermitteln: erstes Zeichen und Länge des Salt. Dann wird der Salt entsprechend aus dem jeweils anderen Hashwert bezogen (also ab Stelle 5, 9 Stellen lang, als Beispiel). Dann wird das Klartext-Passwort + Salt (oder anders rum) gehasht und dieser Wert kommt, zusammen mit einer "genormten" Version des Benutzernamens (z.B. alles lowercase), in die DB. Ergebnis: Der Salt muss nicht mehr gespeichert werden sondern wird durch korrekte, case-sensitive Angabe von Benutzername und Passwort ermittelt. Wäre das besser oder schlechter als ein individuell vergebener, zufälliger aber gespeicherter salt?

[@Florian.Dalwigk]

Das ist ein richtig guter Ansatz!

[@SoyaroNightmare]

@@Florian.Dalwigk Nächste Frage: Macht es Sinn, diese Überlegung als js-code umzusetzen? Dass ich gezielt nach js frage hat offensichtlich den Hintergrund, dass damit alles client-seitig stattfindet und im Falle einer versehentlich unverschlüsselten Verbindung wenigstens keine Klartext-Daten übermittelt werden können. Und ich glaube, den Code zu kennen, der den Hash erzeugt, ist an der Stelle weniger bedenklich als die Logindaten unverschlüsselt zu übermitteln.

[@Florian.Dalwigk]

Ergibt Sinn!

[@pentestical]

Jetzt hab ich Hunger

[@Florian.Dalwigk]

🍔

[@loplop88]

Nice

[@Florian.Dalwigk]

👍

[@mr.365aft]

Wo studierst du?

[@Florian.Dalwigk]

Ich habe an der Hochschule München Informatik studiert. Mittlerweile studiere ich an der Fernuniversität in Hagen meinen Master in Informatik.

[@TestTest-yo8gg]

😂eugeo=senpai Hat das keio.ac in den Domainnamen eine tiefere Bedeutung?

[@Florian.Dalwigk]

;) www.keio.ac.jp/ ist die Webseite der Keio Universität in Japan :D

[@TestTest-yo8gg]

Danke, man lernt nie aus 😁

[@Florian.Dalwigk]

;)

[@EmilusDagoran]

Und man kann sich darauf verlassen das Webseiten die beiden Gewürze auch wirklich anwenden?

[@Florian.Dalwigk]

Leider nicht :( Es gibt sehr viele Seitenbetreiber, denen das egal ist. Wenn ich euch mal einen Dienst mit Login zur Verfügung stelle, könnt ihr aber sicher sein, dass die Passwörter ordentlich gewürzt sind 😉

[@EmilusDagoran]

@@Florian.Dalwigk Aber ich finde grade bei so wichtigen sachen wie Finazdienstleistungen bsw. Paypal sollten gewürzte Passwörter gesetzlich verpflichtent sein.

[@Florian.Dalwigk]

Da stimme ich dir zu. PayPal Und Co machen das wahrscheinlich auch. Lustigerweise gibt es ja aber momentan die Überlegung, Verschlüsselung mit einer Art Generalschlüssel für ermittelnde Behörden auszuhebeln. Ob das durchgeht 🤷‍♂️

[@EmilusDagoran]

@@Florian.Dalwigk Gibt es denn ne Möglichkeit fest zu stellen ob online Dienstanbieter ihre Passwörter würzen. Auf was muss man da achten?

[@Florian.Dalwigk]

Keine Chance. Außrr du kommst an einen Passwort-Hash 🙂

[@manu_pl]

Ich bräuchte Hilfe mit einem Python-Pogramm: Es soll eine quadratische Tabelle mit 16 Zeilen und 16 Spalten erzeugt werden. Die Werte der Tabellenelemente sind die Zahlen von 0 - 255 (256 dezimale Bytewerte) und müssen aus den Tabellenparametern (Tabellengröße, Zeilenzählwert, Spaltenzählwert) berechnet werden. Sodann die Tabellenstruktur in Tabellenform anzeigen: [0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15] [16,..............., 31] [...............] [240,....., 255]

[@Florian.Dalwigk]

Ich habe auch schon geantwortet: informatikstudium.net/index.php/438/zeichencode-tabelle-mit-python-tabelle

[@retronic5324]

Großer Sao fan... so einer also ¬0¬ ... Ich auch xD

[@Florian.Dalwigk]

Haha, ja 😊

[@retronic5324]

Ich hätte ne Frage... Gibt's eigentlich nen dc Server?

[@Nightmare17022000]

irre gut erklärt

[@Florian.Dalwigk]

Danke 😁

[@z9bdoesstuff648]

Haha auch ein SAO Fan?

[@Florian.Dalwigk]

Und wie :) Ich habe auch noch andere Videos auf dem Kanal, in denen ich SAO referenzier ;)

[@Florian.Dalwigk]

Z. B. hier: kzbin.info/www/bejne/iGSvfKNufraggJo :D

[@luqqs3047]

epic weeb

[@Florian.Dalwigk]

🙄

[@luqqs3047]

@@Florian.Dalwigk danke man, hast mir geholfen :b

[@Florian.Dalwigk]

Sehr schön :)

[@juckendesAuge]

Moin, 2:00 ich habe mich gefragt, warum bei mir mit "echo Passwort |sha256sum" eine anderer, kürzerer Hashwert raus kommt. Hier die Versuche. Das dritte stimmt überein...: echo Passwort |sha256sum a4722c7e39b6c2138189c39494223b3446ffdde4d82241036a101bc2ab52c86f - sha256sum < Passwort e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 - echo -n Passwort |sha512sum aaf6a7d781d14ad069bf26988cbda52043197c14f3a9762778a7ba9d31bebce0bfbb27368e39c18471dc611731877cd4796b80c660ff9be2d0d63eaa649c4c1d - LG juck.

[@Florian.Dalwigk]

Das ist ein Beispiel LG Florian.