Passwörter sicher speichern (Hashing mit Salt)

Kurz: Eine Anwendung darf Passwörter nie im Klartext speichern. Sie speichert nur einen Hash mit Salt, aus dem sich das Passwort nicht zurückrechnen lässt.

Genauer: Beim Anmelden wird das eingegebene Passwort mit demselben Verfahren gehasht und mit dem gespeicherten Wert verglichen. Das Salt ist ein zufälliger Zusatz pro Nutzer. Es verhindert, dass gleiche Passwörter gleiche Hashes ergeben und macht vorberechnete Tabellen (Rainbow Tables) nutzlos.

Im Detail

• Richtige Verfahren: Argon2id, scrypt, bcrypt oder PBKDF2 mit hoher Iterationszahl. Sie sind absichtlich langsam und speicherhungrig.
• Falsch: MD5, SHA-1 oder einfaches SHA-256 ohne Salt. Sie sind zu schnell zu knacken.
• Pfeffer (Pepper): Ein zusätzliches Geheimnis, das nicht in der Datenbank steht.
• Länge zählt: Lange Passwörter erlauben, nur Mindestlänge verlangen, keine zwingenden Sonderzeichen.
• Prüfen: Vergleich mit Listen bekannter Leaks.

Siehe auch: Hashing, Passwort-Manager