java passwort code sicherer machen

[JAVAPASSWORT (Gast)]

String nr = JOptionPane.showInputDialog("Gib das Passwort ein");
    
    if (nr.equals("PW")){
      System.out.println ("");
      System.out.println ("Passwort richtig");
      daten();
}

Meine Frage: wie kann ich diesen code sicherer machen?

[Peter II (Gast)]

JAVAPASSWORT schrieb:
> Meine Frage: wie kann ich diesen code sicherer machen?

was versteht du unter sicher?

sinnvoll ist das Password erst mal nicht im Klartext zu speichern.

if (md5(nr).equals("3948058349085349058304958304")){

md5 wird es wohl irgendwo in Java geben.

Sicher ist das aber noch lange nicht, wenn ich es hacken wöllte nehme 
ich einfach den Debugger und helfe ihn über das if hinweg.

[börp (Gast)]

und statt md5 nimmt man heutzutage eher andere, sichere hashes

[Daniel H. (Firma: keine) (commander)]

Hallo,

Passwörter niemals im Klartext speichern sondern mit einem 
(zufälligen) Salt versehen, Hashen und dann den Hash und den Salt 
hinterlegen. Bei der Verifizierung dann das eingegebene Passwort wieder 
mit dem Salt versehen, Hashen und gegen den hinterlegten Hash prüfen.

Als Hashfunction unbedingt eine kryptographische Sichere nehmen, z.B. 
aus der SHA-2 Familie.

[programm.exe (Gast)]

Daniel H. schrieb:
> Passwörter niemals im Klartext speichern sondern mit einem
> (zufälligen) Salt versehen, Hashen und dann den Hash und den Salt
> hinterlegen. Bei der Verifizierung dann das eingegebene Passwort wieder
> mit dem Salt versehen, Hashen und gegen den hinterlegten Hash prüfen.

Und wie stellst du dir das in Java vor?

[Daniel H. (Firma: keine) (commander)]

programm.exe schrieb:
> Und wie stellst du dir das in Java vor?

Hash und Salt wie oben im Programmcode hinterlegen? Oder in einer 
Datenbank? Wir wissen ja nicht, was es für eine Anwendung genau ist.

Wie Peter II schon schrieb gibt es dann immer noch Wege die Abfrage zu 
umgehen, aber rein durch Anschauen des Codes wird keiner das verwendete 
Passwort erraten können, sofern eine kryptographisch sichere 
Hashfunktionen verwendet wird (die bei Java auch schon von Haus aus 
durch java.security.MessageDigest unterstützt werden).