PasswortHashFunktionen

PasswortHashFunktionen sind kryptografische Funktionen, die Passwörter in sichere, feste Längenwerte umwandeln, um sie in Systemen sicher zu speichern. Sie sind darauf ausgelegt, brute-force- und Rainbow-Table-Angriffe zu erschweren, indem sie soft- oder memory-hard Berechnungen verwenden und Salze einsetzen. Ziel ist es, Authentifizierung zu ermöglichen, ohne das ursprüngliche Passwort zu speichern.

Zu den gängigen Passwort-Hash-Funktionen gehören PBKDF2, bcrypt, scrypt und Argon2. PBKDF2 verwendet eine Schleife mit einer definierbaren Iterationzahl, bcrypt integriert Salz und Kostenparameter in der Hash-Darstellung, scrypt und Argon2 setzen zusätzlich speicherbezogene Kosten ein, um spezialisierte Angriffe zu verkomplizieren. Argon2 wird oft als modernste Wahl betrachtet, da es Speicher- und Rechenaufwand flexibel steuert und gegen spezialisierte Hardware resistenter ist.

Funktionsweise: Bei der Speicherung wird das Passwort zusammen mit einem Zufallssalt und Parametern wie Iterationen bzw. Speicher- oder Zeitaufwand verarbeitet. Das Ergebnis wird zusammen mit dem Salt und den Parametern gespeichert, sodass bei der Anmeldung der eingegebene Klartext erneut durch dieselbe Funktion läuft und das erzeugte Hash mit dem gespeicherten Hash verglichen wird. Die Verwendung eines Salzes verhindert erneute Berechnungen mit identischen Passwörtern aus anderen Konten, und Parameter ermöglichen eine zeitgemäße Anpassung.

Best Practices umfassen die Wahl einer sicheren, speicher-resistenten Funktion, die klare Speicherung von Algorithmus, Salt und Parametern, regelmäßiges Anpassen der Kostenparameter sowie sichere Implementierungen, Umstellungen bei Bedarf und regelmäßige Überprüfungen der Hash-Verfahren.