Hash-Funktion und Speicherung von Passwörtern im Klartext

[shortrange]

Hallo zusammen,

für fast alle Dienste und Konten im Internet braucht man einen Benutzernamen und ein Passwort.

Um mich in meinem Konto anmelden zu können, muss der Server des Dienstes mich irgendwie authentifizieren. Das geschieht durch das Passwort.

Angenommen ich erstelle mir einen Account bei Wikipedia und denke mir dafür einen Benutzernamen und ein Passwort aus. Wenn ich das Passwort bei der Accounterstellung eingebe und auf „Account erstellen“ (oder so ähnlich) klicke, wird das Passwort dann im Klartext zu Wikipedia geschickt und dort erst gehasht?

Oder wird es vor dem Abschicken durch meinen Computer/Browser gehasht?
Kennt der Wikipedia-Server zu irgendeinem Zeitpunkt mein Passwort im Klartext?

Vielen Dank für Eure Erklärungen

 

[gabbercopter]

meine glaskugel ist heute leider in der reperatur.

internet und sicherheit? glaubst du im ernst du kannst deine passwörter wirklich geheim halten ?

 

[Masamune2]

In der Regel werden Kennwörter beim Speichern in der Datenbank serverseitig gehashed. Das Passwort ist also theoretisch von Wikipedia erstmal lesbar.

@gabbercopter: Warum der blöde Kommentar? Er hat zwei eindeutige Fragen gestellt.

 

[Foot Hills]

meine glaskugel ist heute leider in der reperatur.

internet und sicherheit? glaubst du im ernst du kannst deine passwörter wirklich geheim halten ?

... also das war wirklich die dümmste aller Antworten ... (zumal es Reparatur heißt)

Wikipedia benutzt das https-Protokoll, also wird dein Passwort verschlüsselt übertragen.

Die Speicherung in der Wikipedia eigenen Datenbank wird vermutlich/hoffentlich gehasht und salted sein. Das passiert allerdings serverseitig.

 

[kling1]

es besteht doch meistens eine ssl verbidung.. die ist verschlüsselt.. und passwörter werden auch nicht mehr einfach nur gehasht

 

[Madman1209]

Hi,

in der Regel passiert das so. Die Daten sollten per https, also verschlüsselt zum Server übertragen werden. Dort wird dann der Hash erstellt und geprüft.

Kennt der Wikipedia-Server zu irgendeinem Zeitpunkt mein Passwort im Klartext?

Es würde nichts nützen, wenn du auf deiner Seite den Hash erstellst und dann an den Server schickst. Der Server reagiert nur auf das, was er von dir bekommt. Würdest du schon vorab Hashen wäre es das Gleiche, wie wenn du das Passwort schickst. Jeder, der den gesendeten Hash mitliest kann sich mit genau diesem Hash auch anmelden, du hättest nichts gewonnen. Einmalig musst du dem Server vertrauen, da führt kein Weg dran vorbei. Genau dafür gibt es Zertifikate und https.

VG,
Mad

 

[shortrange]

Hi,
Es würde nichts nützen, wenn du auf deiner Seite den Hash erstellst und dann an den Server schickst. Der Server reagiert nur auf das, was er von dir bekommt. Würdest du schon vorab Hashen wäre es das Gleiche, wie wenn du das Passwort schickst. Jeder, der den gesendeten Hash mitliest kann sich mit genau diesem Hash auch anmelden, du hättest nichts gewonnen. Einmalig musst du dem Server vertrauen, da führt kein Weg dran vorbei. Genau dafür gibt es Zertifikate und https.

Sehr einleuchtend, daran hatte ich gar nicht gedacht.

Wikipedia war hier auch nur ein Beispiel. Natürlich ist mir bewusst, dass SSL-Verschlüsselung verwendet wird.


Der Ursprung der Frage ist ein anderer:

Ich habe bei einem deutschen Webhoster mehrere Domains gemietet. Dort kann man auch IMAP-Postfächer erstellen.
Letztens hatte ich ein Passwort für ein IMAP-Konto vergessen und habe festgestellt, dass man es über die Administrationsoberfläche über einen Klick auf "Passwort zeigen" einfach einsehen kann.

Dies spricht ja dafür, dass das Passwort dauerhaft auf den Servern des Webhosters im Klartext gespeichert sein muss, oder?
Schließlich können sie das als Hash gespeicherte Passwort nicht einfach "enthashen" (ist ja der Sinn dahinter).

 

[KillerCow]

Dies spricht ja dafür, dass das Passwort dauerhaft auf den Servern des Webhosters im Klartext gespeichert sein muss, oder?

Die Passwörter können auch verschlüsselt abgelegt sein. Allerdings spricht diese Art der Passwortverwaltung nicht unbedingt für den Hoster. Eventuell haben sie beim verwendeten Mailserver aber auch einfach keine andere Wahl, weil der ja die Authentifizierung durchführt und ggf. nicht mit "modernen" Methoden der Passwortverwaltung umgehen kann... ist natürlich in der heutigen Zeit auch keine Ausrede.

Solange du allerdings deine E-Mails nicht Ende-zu-Ende verschlüsselst, kann die eh jeder lesen, der irgendwie an den Mailserver herankommt.