02-06-2015, 22:16 door Krakatau: Ja, je moet tegenwoordig oppassen als bedrijf dat je wel afdoende technische maatregelen neemt ter bescherming van persoonsgegevens. De tijd van het in de database opslaan van plaintext wachtwoorden is voorbij! Niet bedoeld als kritiek, maar bij gehackte serverdatabases krijgen, denk ik, wachtwoorden (of afgeleiden daarvan) vaak alle aandacht - terwijl er meestal meer vertrouwelijke gegevens zijn gestolen (die niet eenvoudig te wijzigen zijn). En reken je niet rijk met welke wachtwoordverhaspelingmethode dan ook. Als aanvallers van een specifieke gebruiker het wachtwoord willen achterhalen (bijv. omdat ze vermoeden dat die gebruiker dat wachtwoord elders ook gebruikt), duurt het uitproberen van een lijst met veelgebruikte wachtwoorden ook weer niet zo heel lang (anders zou het normale inloggen veel te veel tijd en server-CPU performance kosten). Ik zeg niet dat je geen PBKDF2 o.i.d. moet gebruiken, maar stap 1 moet zijn dat je voorkomt dat aanvallers directe toegang ...