Page Comparison

Die zur Authentifizierung gespeicherten Informationen sind Hash und Salt.

Beim Anlegen eines Nutzers hasht der Client das eingegebene Passwort mit einem Salt, welcher u.A. den Benutzernamen enthält (client-seitiges PBKDF2). Dieser Hash wird an den Server gesendet und dort mit dem für den Nutzer in der Datenbank hinterlegten Salt nochmals gehasht (server-seitiges PBKDF2). Bei Anmeldung eines Benutzers wird sein dabei eingegebenes Passwort gehasht und mit dem gespeicherten Hash verglichen. Eine Authentifizierung erfolgt nur dann, wenn die beiden Hashes übereinstimmen. Wenn identische Passwörter eingegeben werden, bleiben die Hash-Werte für verschiedene Benutzer trotzdem unterschiedlich. Dies gilt sogar, wenn die Salt-Werte für zwei Benutzer identisch wären. D.h. es ist nicht möglich, die Datenbankeinträge eines Benutzers auf die eines anderen Benutzers sinnvoll zu übertragen. Der server-seitige Salt besteht aus einer Folge der zufällig gewählten Bytes und wird individuell für jeden Benutzer generiert. Dieses Vorgehen stellt folgende Punkte sicher:

• Das Passwort wird nie im Klartext an den Server übertragen.
• Das Passwort wird nie im Klartext in der Datenbank gespeichert.
• Die an den Server gesendete Information (Hash 1) unterscheidet sich von der zu diesem Benutzer in der Datenbank gespeicherten Information (Hash 2).
• Der Client erhält keine Kenntnis über die in der Datenbank hinterlegten Werte für Hash oder Salt.
• Das eingesetzte Verfahren ist Bestandteil der Standard .NET-Bibliotheken.
• Die Hash-Berechnung ist so gestaltet, dass Brute-Force-Attacken erschwert werden.