Login mit SHA256

Wolfman · 19. Dezember 2014, 16:57

Hallo alle zusammen, ich weiß das es nicht üblich ist, aber ich muß mit einer SHA256 Verschlüsselung Arbeiten beim Login.
Ich habe hier noch ein Login Script rumliegen welches für MD5 ist:

VB.NET-Quellcode

Public Class SystemLogin
Private Sub Login_Click(sender As System.Object, e As System.EventArgs) Handles Login.Click
Dim WebClient As New Net.WebClient
Dim Passwort As String
Passwort = GetMd5Hash(Password.Text)
Dim Quelltext As String
Dim AbfrageLink As String
AbfrageLink = "http://www.beispiel-seite.de/login.php?pw=" & Passwort & "&user=" & Username.Text
Quelltext = WebClient.DownloadString(AbfrageLink)
Dim Temp() As String
Temp = Quelltext.Split(";"c)
Dim Wert As String
For i As Integer = 0 To 0
Wert = Temp(i)
Next
If Wert = "Login True" Then
MsgBox("Sie wurden erfolgreich eingeloggt!", MsgBoxStyle.Information, "Erfolgreich!")
Hauptmenü.Show()
Else
MsgBox("Sie konnten nicht eingeloggt werden, bitte überprüfen sie ihre Login Daten!", MsgBoxStyle.Critical, "Fehler!")
Username.Text = Nothing
Password.Text = Nothing
End If
End Sub
End Class

Ich wollte Fragen ob mir jemand zeigen kann wie ich das abändern muß damit es für SHA256 Funktioniert?

Vielen Dank bereits im vorraus.

Verschoben aus "Datenbankprogrammierung". ~Thunderbolt

slice · 19. Dezember 2014, 17:06

SHA256 ist keine Verschlüsselung sondern ein Secure Hash Algorithm.
Du musst Zeile 8 ändern und eine Funktion implementieren die den Hash bildet.

ErfinderDesRades · 19. Dezember 2014, 17:08

Das Script wendet Autentifizierung falsch an.

Es wird nicht ein Hash autentifiziert, sondern ein Passwort. Den Hash muss der Server bilden.
Folglich musst du das Passwort an den Server senden - nicht den Hash.
gugge Verschlüsseln und Autentifizieren

Mir scheint, du musst dein ganzes Login-System überarbeiten.

Wolfman · 19. Dezember 2014, 17:12

@slice Ja das ist genau mein Anliegen, da ich nicht weiß in was ich das ändern muß

@ErfinderDesRades Sorry ich hab mich da wahrscheinlich etwas Falsch ausgedrückt

slice · 19. Dezember 2014, 17:25

@ErfinderDesRades finde ich nicht, je weniger Informationen der Server über das Passwort hat desto besser.
Von dem her ist die Bildung des Hash Clientseitig m.M.n. sogar besser, dann kann so was hier zb nicht passieren:

Heise - PhpBB-Webserver geknackt, Zugangsdaten kopiert schrieb:

Zusätzlich haben die Angreifer bei Logins der Foren zwischen dem 12. und 15. Dezember alle Passwörter im Klartext mitgeschrieben.

@Wolfman dann solltest du dir den Link von @ErfinderDesRades mal durchlesen und versuchen zu verstehen.

Daniel Baumert · 19. Dezember 2014, 17:28

ErfinderDesRades schrieb:

Das Script wendet Autentifizierung falsch an.

Es wird nicht ein Hash autentifiziert, sondern ein Passwort. Den Hash muss der Server bilden.
Folglich musst du das Passwort an den Server senden - nicht den Hash.
gugge Verschlüsseln und Autentifizieren

Wenn der Login sowieso nur über das Programm laufen soll, kann er doch auch genauso
im Programm Hashen und den Hash an den Server senden.

Thunderbolt · 19. Dezember 2014, 17:45

Nö, weil ich dann den Hash klaue und diesen zum Server sende. Da muss ich nicht mal das Passwort kennen. Verbindungssicherheit sollte sowieso immer gewährleistet sein (SSL).

ErfinderDesRades · 19. Dezember 2014, 17:46

Werden Hashes an den Server gesandt, und jemand kapert die Datenbank mit den Hashes drinne, so kann er jedes' Users Account missbrauchen, denn zum Login kann er die Hashes nehmen.
Werden Passworte an den Server gesandt, und jemand kapert die Datenbank mit den Hashes drinne, so kann er damit gar nichts anfangen, denn von den Hashes kann er nicht auf die Passworte rückschließen, und zum Login braucht man ein Passwort.
Bezüglich Sniffens ist eines so unsicher wie das andere, denn es ist unvermeidlich, dass zum LogIn die für das Login nötigen Informationen übertragen werden.

Edit: zu spät

OlafSt · 19. Dezember 2014, 18:00

Ein Glück, das du zu spät warst. Denn jetzt hat auch mein altes, von 30 Jahren Programmierung gemartertes Hirn das ganze gerafft. Thx !

nafets · 19. Dezember 2014, 18:13

@ErfinderDesRades
Hashes sind trotztem besser: Wird der Netzwerkverkehr mitgesnifft, hat man nur den Hash, nicht das Passwort. Erstmal kann sich der Hacker natürlich in beiden Fällen mit deinem Account am Server anmelden, was sowieso schlecht ist. Dann ist aber noch das Problem, dass der Hacker dein Passwort als Klartext hat und sich damit auch bei anderen Services einloggen kann (natürlich vorausgesetzt, dass man das Passwort auch woanders nutzt) - beim Hash ist dies nicht der Fall.

slice · 19. Dezember 2014, 18:20

@ErfinderDesRades Sorry da habe ich, damit man den Post versteht, den wichtigsten Teil vergessen.
Der übertragene Wert (Hash des UserPW + Salt) übernimmt Serverseitig die Rolle des Passwort.

So hat der Server nie Kenntnis über das ursprüngliche Passwort.
Klar, 100%ig sicher ist das auch nicht, es ist nur eine weitere Ebene, aber es erschwert dem Angreifer die Arbeit ans ursprüngliche Passwort zu kommen.

ErfinderDesRades · 19. Dezember 2014, 18:25

ah - dass serverseitig vom übertragenen Hash ein weiterer Hash gebildet wird!
Jo - sowas hatte ich mir grad auch ausgedacht, als Lösung des von Nafet genannten Problems.

Wolfman · 19. Dezember 2014, 19:03

Also ich hab mir den Text mal angesehen, aber wirklich Hilfreich ist der auch nicht, also hab ich noch immer das gleiche Problem.

ErfinderDesRades · 19. Dezember 2014, 22:58

naja, hast du dir die System.Security.Cryptography.SHA256 - Klasse mal im ObjectBrowser angeguckt? Welche Methoden hat die denn so?

Falls du den OB nicht kennst: VisualStudio richtig nutzen (Google ist nicht deine Mami)

Login mit SHA256

Login mit SHA256

VB.NET-Quellcode

Heise - PhpBB-Webserver geknackt, Zugangsdaten kopiert schrieb:

ErfinderDesRades schrieb:

Ähnliche Themen

7 Benutzer haben hier geschrieben