[choise]

http://codahale.com/how-to-safely-store-a-password/

Meinungen?

Ich denke diesen Mechanismus sollte man mal unabhängig von den Interface-Sicherungen betrachten (gehen wir einfach mal von einer dict-brute-force Attacke direkt gegen den password-hash aus), also von 3 maliger passwort eingabe, nur alle 10 sek submit usw.

Ich bin nicht ganz sicher was ich davon halten soll. Spannend klingt es zumindest.

[Smooth-Graphics]

Nunja. Klingt ja ganz schön, aber die Performance ist nicht zu verachten.
Ich denke auch, dass man das anwendungsabhängig betrachten sollte.
Man nehme das MGi, lege die Last des bcrypt drauf und schon ist die Performance im Eimer, benötigt wird das ganze sowieso nicht, weil (sind wir doch mal ehrlich) hier sowieso keine wichtigen Daten drin sind.
Für hochsicherheits Anwendungen wie Zahlungsinformationen etc. finde ich es hingegen sehr gut. Heutzutage bieten ja Services wie Amazon S3 die nötige Rechenkapazität dafür auch an.

[bacon]

Hm weißnicht. Ich bin kein Experte, höchstens in sofern, dass ich mich an meine Krypto-Klausur mit Grauen erinnere.

Gängige Meinung ist sowieso, "Passwörter niemals encrypten, sondern immer hashen" => Einweg vs. Zweiweg-Passwort-Verschlüsselung. Zweiweg (symmetrisch) kann man immer wieder entschlüsseln, einweg wenigstens in der Theorie - nicht.