Moin!

Doch, Prä- oder Suffixe verhindern die Angreifbarkeit über Rainbow-Tabellen. Insbesondere dann, wenn sie selbst so gewählt sind, dass sie vernünftig lang und hinreichend zufällig sind. SOzusagen als Salzersatz.

Was darf man unter vernünftig lang und hinreichend Zufällig verstehen?

Das Problem mit Rainbow-Tabellen ist, dass dort für typische Passworte die zugehörigen MD5-Hashes gespeichert sind, so dass man eine Rückwärtssuche machen kann, um zu einem MD5-Hash in nahezu keiner Zeit (Google ist schließlich auch sehr fix) wieder eines der möglichen Passworte zu finden.

Angenommen, das Passwort zu dem bekannten Hash x lautet "stamm". Dann wäre es blöd, wenn man als Präfix "baum" nimmt, weil "baumstamm" ebenfalls ein mögliches, in Rainbowtabellen auffindbares Passwort ist, so das man auch zu dem aus "baumstamm" entstehenden Hash y den möglichen Eingangswert sehr schnell findet.

Rainbowtabellen sind in ihrem Umfang begrenzt. Es ist technisch nicht möglich, zu allen denkbaren MD5-Hashwerten auch nur einen einzigen Eingangswert zu speichern, dazu ist der Wertebereich einfach zu riesig, selbst wenn man auf atomarer Ebene arbeitet und das gesamte Universum dafür benutzt. Deshalb sollte der Präfix eben hinreichend lang sein (ich behaupte mal, dass 8 Zeichen schon ausreichen, denn 8 Zeichen plus das Passwort selbst übersteigt dann mit hoher Wahrscheinlichkeit den Speicherbereich existierender Rainbowtabellen), und hinreichend zufällig (wenn ich echte Worte wie "baum" vermeiden kann, sondern etwas wie "gq§Tz87+@" nehme, gerate ich kaum zufällig in die Gefahr, ein zusammensetzbares sinnvolles Wort zu generieren, dass vielleicht trotz seiner Länge in einer Rainbowtabelle steht).

- Sven Rautenberg