Ergebnis 1 bis 10 von 10

Thema: MD5 Encryption

  1. #1
    waldi ist offline Benutzer
    Registriert seit
    22.12.2006
    Beiträge
    67

    Standard MD5 Encryption

    Hallo Hallo.

    Ich hab ein Java Programm und möchte die MD5 verschlüsselung für das Passwort benutzen. Kann ich irgendwie den Treiber einstellen das er das Klarsichtpasswort in MD5 verschlüsselt (bzw. einen Hashwert erzeugt) und überträgt? Oder wie muss ich vorgehen. Was ich PGSQL einstellen muss ist mir klar aber was ist mit der Client Seite?

    Ich hoffe ihr könnt mir helfen. Und schon jetzt vielen Dank für eventuelle Antworten.


    Waldi

  2. #2
    waldi ist offline Benutzer
    Registriert seit
    22.12.2006
    Beiträge
    67

    Standard

    Achso ihr solltet noch den Treiber wissen: JDBC

  3. #3
    akretschmer ist gerade online Super-Moderator
    Registriert seit
    29.10.2006
    Ort
    Dresden
    Beiträge
    5.467

    Standard

    Zitat Zitat von waldi Beitrag anzeigen
    Hallo Hallo.

    Ich hab ein Java Programm und möchte die MD5 verschlüsselung für das Passwort benutzen. Kann ich irgendwie den Treiber einstellen das er das Klarsichtpasswort in MD5 verschlüsselt (bzw. einen Hashwert erzeugt) und überträgt? Oder wie muss ich vorgehen. Was ich PGSQL einstellen muss ist mir klar aber was ist mit der Client Seite?

    Ich hoffe ihr könnt mir helfen. Und schon jetzt vielen Dank für eventuelle Antworten.


    Waldi
    Was spricht gegen SSL?


    Andreas
    --
    ads Das hatte dir akretschmer gestern schon gesagt und siehe da sobald du das machst, funktioniert es ;-)
    https://www.xing.com/profile/Andreas_Kretschmer7

  4. #4
    waldi ist offline Benutzer
    Registriert seit
    22.12.2006
    Beiträge
    67

    Standard

    Eigentlich nichts. MD5 hätte mir nur ausgreicht. Wieso denn so kompliziert? Die Sache mit MD5 ist eigentlich ja sehr einfach. Ich habe zum Thema SSL schon einiges bei Postgres.org gefunden aber MD5?? Hat soetwas noch nie einer gemacht?

  5. #5
    akretschmer ist gerade online Super-Moderator
    Registriert seit
    29.10.2006
    Ort
    Dresden
    Beiträge
    5.467

    Standard

    Zitat Zitat von waldi Beitrag anzeigen
    Eigentlich nichts. MD5 hätte mir nur ausgreicht. Wieso denn so kompliziert? Die Sache mit MD5 ist eigentlich ja sehr einfach. Ich habe zum Thema SSL schon einiges bei Postgres.org gefunden aber MD5?? Hat soetwas noch nie einer gemacht?

    Wenn Du dem Netz nicht traust, dann wäre SSL halt für alles eine Sicherheit, und nicht nur das Passwort wäre sicher übertragen. Ich versteh auch grad ned so recht, was der Unterschied ist, wenn ich Klartext Passwort oder Klartext Hash übertrage, ein Angreifer, der mitlauscht, kann beides sehen und selbst verwenden.


    Andreas
    --
    ads Das hatte dir akretschmer gestern schon gesagt und siehe da sobald du das machst, funktioniert es ;-)
    https://www.xing.com/profile/Andreas_Kretschmer7

  6. #6
    ads
    ads ist offline Super-Moderator
    Registriert seit
    08.02.2006
    Ort
    MD
    Beiträge
    4.055

    Standard

    Na ja, den Hash kann ich ja nur erzeugen, wenn ich auf beiden Seiten das Passwort kenne, es wird aber nicht im Klartext übertragen.

    Allerdings ist das Argument, das akretschmer angeführt hat, nicht von der Hand zu weisen: mit SSL wird die komplette Übertragung verschlüsselt. Und wenn ich schon Angst um Mithörer habe, sollte ich nicht beim abhörsicheren Passwort aufhören.
    Xandrian: Kurz gesagt: Du hast ein falsches Konzept und willst nicht auf ads hören

    Jetzt NEU: PostgreSQL - Datenbankpraxis für Anwender, Administratoren und Entwickler

    PostgreSQL Service & Support

  7. #7
    akretschmer ist gerade online Super-Moderator
    Registriert seit
    29.10.2006
    Ort
    Dresden
    Beiträge
    5.467

    Standard

    Zitat Zitat von ads Beitrag anzeigen
    Na ja, den Hash kann ich ja nur erzeugen, wenn ich auf beiden Seiten das Passwort kenne, es wird aber nicht im Klartext übertragen.
    Ganz egal. Ein Angreifer sieht das, was übertragen wird, falls dies ungeschützt ist. Ob ich auf Client-Seite das Passwort als Plaintext rausblase und am Server daraus MD5 mache und prüfe oder auf dem Client MD5 mache und das übertrage und am Server das, was kommt, direkt vergleiche, ist aus des Angreifers Sicht egal. Er braucht nur das zu nehmen, was er gesnifft hat, um sich anzumelden.

    Oder hab ich da jetzt einen Denkfehler?

    Andreas
    --
    ads Das hatte dir akretschmer gestern schon gesagt und siehe da sobald du das machst, funktioniert es ;-)
    https://www.xing.com/profile/Andreas_Kretschmer7

  8. #8
    ads
    ads ist offline Super-Moderator
    Registriert seit
    08.02.2006
    Ort
    MD
    Beiträge
    4.055

    Standard

    Hast du, ja.

    Vorgehensweise ist:

    - der Server schickt dem Client einen Text
    - der Client verschlüsselt den Text mit seinem Passwort als Hash
    - der Client schickt dem Server den verschlüsselten Hash
    - der Server wiederholt das ganze und vergleicht die Ergebnisse

    Wenn nun jemand mitliest, bekommt er auf diesem Weg das Passwort nicht zu sehen, er kann auch nicht einbrechen, weil er ohne Passwort den passenden Hash nicht generieren kann.

    Allerdings ist der Rest der Kommunikation halt trotzdem Klartext.
    Xandrian: Kurz gesagt: Du hast ein falsches Konzept und willst nicht auf ads hören

    Jetzt NEU: PostgreSQL - Datenbankpraxis für Anwender, Administratoren und Entwickler

    PostgreSQL Service & Support

  9. #9
    akretschmer ist gerade online Super-Moderator
    Registriert seit
    29.10.2006
    Ort
    Dresden
    Beiträge
    5.467

    Standard

    Zitat Zitat von ads Beitrag anzeigen

    - der Server schickt dem Client einen Text
    - der Client verschlüsselt den Text mit seinem Passwort als Hash
    - der Client schickt dem Server den verschlüsselten Hash
    - der Server wiederholt das ganze und vergleicht die Ergebnisse

    Wenn nun jemand mitliest, bekommt er auf diesem Weg das Passwort nicht zu sehen, er kann auch nicht einbrechen, weil er ohne Passwort den passenden Hash nicht generieren kann.
    Ah ja, Danke für die Erklärung.
    --
    ads Das hatte dir akretschmer gestern schon gesagt und siehe da sobald du das machst, funktioniert es ;-)
    https://www.xing.com/profile/Andreas_Kretschmer7

  10. #10
    waldi ist offline Benutzer
    Registriert seit
    22.12.2006
    Beiträge
    67

    Standard

    OK ich werde dann die ganze Sache via SSL machen. Ist ja auch nicht so viel mehr aufwand. Ich sage an dieser Stelle auch Dankeschön für die schöne Erklärung.

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •  

Links: Tobias Bauer - IT- und Funkdienstleistungen   -   Bilderrahmen-kaufen.de - Der Onlineshop für Bilderrahmen & Fotorahmen   -   Funkforum