password_hash & Verdoppelung von Passwörter

[alex1000]

Die neue sichere PHP Methode um Passwörter zu sichern is by der Vewendung der Fucktion password_hash(). Jedoch ein gleiches Password erzeugt unterschiedliche Hashwerte.

Ein direkt Vergleich zwischen zwei Hashwerte eines gleichen Passwort ist hiermit nicht möglich.

Welche bessere Methode gibt es um heraus zu finden ob ein Passwort bereits in der Datenbank vorhanden ist (z.B. bei der Registrierung), sodass zwei Nutzer nicht das gleiche Passwort mit zwei unterschiedlichen Konten verwenden?

 

[roedert]

sodass zwei Nutzer nicht das gleiche Passwort mit zwei unterschiedlichen Konten verwenden?

Wozu denn eine solche Einschränkung ... eine derartige Limitierung habe ich noch in keinem System gefunden.
UserIDs, eMail-Adressen etc. können/sollten einmalig sein und das PW evtl. mehr oder weniger strengen Regeln entsprechen ... aber warum sollte ein PW nicht doppelt vorkommen dürfen?

Hilft dir jetzt zwar nicht weiter, aber ich würde mal interessieren warum du eine solche Einschränkung umsetzen möchtest.

 

[alex1000]

Wozu denn eine solche Einschränkung ...

Habe ich in vielen Webseiten gesehen wobei stand "This password exists already" und man wurde aufgefordert ein neues Passwort zu versuchen. Daher hielt ich das villeicht für noch sicherer , email, pswt und id einmalig zu halten.

 

[alex1000]

Ich weiss allerdings, dass ein Check allein mit ID und eMail-Adresse ausreichend ist, jedoch wird's hier und da noch Mobiltelefonnummer dazu verlangt um sicherer zu gehen.... und man fragt sich.

 

[Cyv]

Das ist keine gute Idee. Diese Antwort gibt einen Hinweis auf ein existierendes Passwort. Somit weiß ein Angreifer schonmal, dass es dieses PW gibt. Über diesen Vektor kann er diverse Passwörter erraten und bekomm es von System bestätigt. Sehr unschön...

 

[alex1000]

Über diesen Vektor kann er diverse Passwörter erraten und bekomm es von System bestätigt. Sehr unschön...

Du hast völlig recht, Danke.

 

[oglimmer]

Die neue sichere PHP Methode um Passwörter zu sichern is by der Vewendung der Fucktion password_hash(). Jedoch ein gleiches Password erzeugt unterschiedliche Hashwerte.

Das nennt sich übrigens Salt und ist zwingend für Sicherheit notwendig (https://de.wikipedia.org/wiki/Salt_(Kryptologie))