[HaBo]

Inferno-Deluxe

Anzeige

Na super gibt es den keine anderen möglichkeiten ???

livinskull

Man könnte noch einen Sniffer installieren, dann kannst des pw glaub ich auslesen...
Oder den MD5-Hash durch bruteforce knacken

Elderan

Hallo,
sollte das PW wirklich als MD5 Hash auf dem Rechner gespeichert sein, dann müsste es auch als MD5 Hash an den Server übertragen werden, aufgrund der Umumkehrbarkeit von MD5.
Dies führt unweigerlich zur nächsten Frage, wie speichere ich den MD5 Hash sicher auf dem PC ab?
Denn schließlich könnte jeder, der den MD5 Hash des Passworts besitzt, sich damit am Server anmelden.

Es mag angehen, dass das PW als Hash abgelegt wird, dies dient aber eigentlich nur dazu, dass falls der User dieses PW bei mehreren Diensten verwendet hat, sich ein Angreifer übers auslesen des ICQ Passworts nicht auch bei den anderen Diensten anmelden kann.
Die Abspeicherung als Hash erhöht aber in keinem Weg die Sicherheit bezüglich der Anmeldeauthenifizierung bei ICQ.
Um dies zu gewährleisten, muss man das PW entweder versteckt ablegen, wie z.B. Aktivierungsdateien von Software, oder man speichert es verschlüsselt/kodiert ab, wobei die Sicherheit dann von der Geheimhaltung des Algorithmus lebt.

livinskull

Stimmt schon, aber wer macht sich den die Mühe einen eigenen icq-clienten zu proggen um das passwort direkt als hash zu übertragen?
Bei allen Clienten gibt man das pw ja als klartext und nich als hash ein...

Aber ansonsten haste recht, spricht ja eigentlich nicht gerade für eine sichere anmeldung...

EDIT: hm, ich les hier grad das icq6 den hash des passworts mit base64 verschlüsselt abspeichert...
und das es ein tool gibt mit dem man sich über den hash anmelden kann und das pw ändern kann
außerdem wird das pw als md5 an den server übertragen

Inferno-Deluxe

Aber deser typ macht das ganz anders, ich mein das macht er auch mit icq 6 schaut einfach ma selbst:
http://video.google.de/videoplay?doc...arch&plindex=0