Passwort wie sicher ?

Code: PHP

<?  

$password = 'superpasswort';
$newpassword = crypt($password, "CRYPT_MD5");     

echo "original:   ",$password;  echo "<br>";  
echo "crypt:     ",$newpassword;

$string = md5($newpassword);  echo "<br>";    
echo "MD5:       ";  echo $string;          

?>  

habt ihr eine ahnung wie lange man ca. braucht um ^^ diese passwortverschlüsselungsmethode mittels scritp zu entschlüsseln ?

Ohne Salt mit einer dictionary-based attack nicht allzu lange, wenn das Passwort schwach ist. Da hilft dir auch die tollste Hashfunktion nicht. Bruteforce laut einem kuerzlich veroeffentlichten jap. Paper glaube ich etwa runde 2^70 Versuche (bei MD5).

wobei wenn ma sich 95% der passwörter anschaut braucht ma nur mal alle geburtsdaten von 1.1.01 - 31.12.99 && 01.01.1901 - 31.12.2005 und dann noch 1 - 10000000 durchlaufn lassn... wenn ma dann noch mitm dictionary drauf geht bleibt nimmer viel über... die leute machn sich viel zu wenig gedanken drüber...

add: geht natürlich nur wenn ma den hash im idealfall scho kennt. weil wenn da ein brute force schutz drauf ist wirds natürlich mühsam....

Zitat von Moesli

verstehe also wenn man bruteforcen würde, würde man mehrere möglichkeiten bekommen,.. also wär das sicherste PW eine sinlose ansammlung von zahlen und buchstaben,...

Egal, welcher Algorithmus verwendet wird, prinzipiell ist eine zufällig gewählte Kombination aus Groß- und Kleinbuchstaben sowie Zahlen UND Sonderzeichen am besten. Länge: Meiner persönlichen Meinung nach reichen 8 Zeichen, aber je nach Paranoia könnens auch mehr sein...

Wenn du dir ganz sicher sein willst, baust halt ein Anti-Brutforcing ein...

Skript gibts zb hier

Ich kenn das PDF nicht, und will auch garnicht wissen warum du Mitglied dort bist wenn du kein Schimmer von dem Thema hast... aber soviel kann ich sagen:

"Entschlüsseln" kann man nur einen MD5-Hash wenn man den Hash überhaupt hat (.) Das is so und lässt sich sicher nicht ändern. Zusätzlich bezieht sich dieses "Entschlüsseln" nur darauf dass man einen String erhält, der den gleichen Hash liefert, aber eben nicht der ursprüngliche String sein muss.

Verbunden mit der Tatsache, dass man auf nem Linux Rechner nur als Root überhaupt die passwd-Files lesen kann, fragt sich - wozu die noch entschlüsseln wenn man doch eh' schon root ist. Wenn ein Hacker mal so weit gekommen ist, sollte man vielleicht das root-pw von "god" auf was anderes stellen