Ist Hashen bei Passwörtern dasselbe wie Verschlüsseln?

Nein, und bei Passwörtern ist Hashen die richtige Wahl. Verschlüsselung lässt sich mit einem Schlüssel umkehren; wer verschlüsselte Passwörter samt Schlüssel stiehlt, hat alle Passwörter zurück. Einen Hash kann man nicht umkehren, das System speichert also nur den Hash und vergleicht ihn bei der Anmeldung. Gewöhnliche schnelle Hashes wie SHA-256 sind für Passwörter trotzdem eine schlechte Wahl, weil Angreifer mit einer gestohlenen Datenbank auf Grafikkarten enorme Mengen Versuche pro Sekunde durchprobieren können. Nutzen Sie eine Funktion, die für Passwörter gebaut ist, absichtlich langsam und mit einem zufälligen Salt pro Nutzer: Argon2id, scrypt oder bcrypt, wie es der OWASP-Leitfaden zur Passwortspeicherung empfiehlt. Speichert ein Lieferant oder eine Altanwendung Passwörter verschlüsselt oder nur mit MD5 oder SHA-1 gehasht, behandeln Sie das als zu behebenden Befund. Für Ihre eigenen Mitarbeitenden liegt der größere Gewinn woanders: Mehr-Faktor-Authentisierung (MFA), ein Passwortmanager und das Sperren wiederverwendeter Passwörter. Ein Netzwerksensor sieht nicht, wie ein Server Passwörter speichert; das gehört in eine Anwendungsprüfung.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen