Re: [Marina-IT] Erfahrungsaustausch mit Dovecot Postmastern

[Martin Braun <martin.braun AT piratenpartei-nrw.de>]

Hi,

On 29.08.2012, at 11:54, Christoph Giesel wrote:

> Was ich mit verschlüsselten Passwörtern meinte:
> http://wiki.dovecot.org/Authentication/PasswordSchemes#Supported_schemes

Wenn es um Passworthashes geht, ist SHA, MD5 oder crypt() überholt. Das liegt 
nicht an den Algorithmen selbst sondern an der Geschwindigkeit in der sie 
erzeugt werden können. Mit aktuellen GPU berechnet man hunderttausende dieser 
hashes im Sekundentakt. Salts helfen in der Regel nur gegen Rainbowtables, 
die sind jedoch nicht mehr nötig da man schnell genug entsprechende Hashes 
inklusive Salt generieren und prüfen kann. Es gibt Möglichkeiten, tatsächlich 
bruteforce-sichere Hashingverfahren wie bcrypt mit Dovecot zu nutzen.

Gruß
 Martin

Quellen:
https://tech.immerda.ch/2011/10/storing-mail-credentials-using-bcrypt/
http://www.f-secure.com/weblog/archives/00002095.html
http://codahale.com/how-to-safely-store-a-password/
http://en.wikipedia.org/wiki/Bcrypt