MD 5 Methode

[Dagobert]

Guten Abend alle zusammen =),
ich habe mir aus dem Forum hier diese DM5 verschlüsselung zusammenkopiert:

String hash = "";
try {
	MessageDigest md5 = MessageDigest.getInstance("MD5");
	md5.update(txtPW.getText().getBytes());
	byte[] digest = md5.digest();
			
	StringBuffer sb = new StringBuffer();
			
	for (int i = 0; i < digest.length; i++) {
		int unsigned = digest[i] & 0xff;
		sb.append(Integer.toHexString((unsigned)));
	}
	 hash = sb.toString();
} catch (NoSuchAlgorithmException e1) {
	e1.printStackTrace();
}
				
System.out.println(hash.toString());

doch leider liefert sie z.B. bei dem Wort test ein falsches Ergebnis:
Laut Google sollte das bei dem Wort test rauskommen:
098f6bcd4621d373cade4e832627b4f6
Bei mir kommt aber: 98f6bcd4621d373cade4e832627b4f6
Dies liegt bestimmt an dieser Zeile oder?

int unsigned = digest[i] & 0xff;

Gibt es eine möglichkeit dies recht fix zu beheben? und wenn ja welche?

mfg. Dagobert

 

[Wildcard]

Passt doch. Dir fehlt nur die leading zero, der Zahlenwert ist korrekt.
MD5 ist übrigens mit Nichten eine Verschlüsselung, sondern ein Hash.

 

[Capasso]

Hi,

das gleiche Problem hatte ich auch mal.
Dabei fehlt nicht nur die erste 0 sondern jede 0.

So müsste es gehen:

private String md5Hasher (char s[]) {
		MessageDigest md5;
		try {
			md5 = MessageDigest.getInstance("MD5");
		} catch (NoSuchAlgorithmException e) {
			e.printStackTrace();
			return "-";
		}
		String x = new String(s);
        md5.reset();
        md5.update(x.getBytes());
        byte[] result = md5.digest();

        
        StringBuffer hexString = new StringBuffer();
        for (int i=0; i<result.length; i++) {
			if (((int) result[i] & 0xff) < 0x10) {
				hexString.append("0");
			}
            hexString.append(Integer.toHexString(0xFF & result[i]));
        }
        return hexString.toString();
	}

 

[maki]

Apache commons codec hat übrigens schon eine fertige Implementierung: DigestUtils (Commons Codec 1.4-SNAPSHOT API)

 

[Dagobert]

Danke für die ganzen Antworten,
Das von Apache sieht ganz nett aus und werde es mal ausprobieren.
Und auch dir Capasso danke für den Code.
Ich weiß das MD5 nur ein Hash darstellt aber trozdem reichts und ein pw in der Datenbank zu hinterlegen ?! das nicht jeder aufm ersten blick sieht was es ist oder?

gruß Dagobert

 

[maki]

Ich weiß das MD5 nur ein Hash darstellt aber trozdem reichts und ein pw in der Datenbank zu hinterlegen ?! das nicht jeder aufm ersten blick sieht was es ist oder?

Die meisten DBs bieten so etwas schon von Haus aus.

Welche DB benutzt du denn?

 

[Dagobert]

Ich benutze mysql noch im Test und denke das es später auf nem richtigen SQL Server laufen wird.
Wie mache ich das denn mit SQL von haus aus?

 

[maki]

Wenn du MySQl zum testen verwendest, achte darauf dass du keine ISAM Tabellen nutzt, denn diese unterstützen weder Transaktionen noch RI. Also beser gleich auf InnoDB Tabellen setzen.
Sonst gibt es später Überraschungen bei der Umstellung auf eine "richtige" DB...

Vielleciht hilft dir diese Google Suche bei der Suche auf eine Antwort wie man in MySQL Passwörter hasht: mysql encrypt password example java - Google Search

Allerdings nutzt das wenig wenn der Prod Server dass nicht unterstützt bzw. anders macht, da wäre es wohl doch besser es selbst zu machen.

 

[Dagobert]

ok dann mache ich das selbst. Als Tabellentyp benutze ich innoDB damit kenne ich mich am besten aus weil wir damit in der Schule gelernt haben =)

So jetzt nurnoch ein Problem? Wo kann ich das Package von Apache downloaden? Ich bin zu doof da nen link aufzutreiben

gruß Dagobert

 

[Wildcard]

Ich weiß das MD5 nur ein Hash darstellt aber trozdem reichts und ein pw in der Datenbank zu hinterlegen ?! das nicht jeder aufm ersten blick sieht was es ist oder?

gruß Dagobert

Ich denke du hast nicht ganz verstanden. Aus einem Hash lässt sich das Original gar nicht mehr rekonstruieren. Du Speicherst also nicht das Passwort, sondern nur einen Hash.
Anders ausgedrückt:
Verschlüsselung hat eine Umkehrfunktion, Hashen nicht.

 

[Dagobert]

Ich weiß das Hash keine Umkerfunktion hat. Es ist auch kaum auf die gleiche Hashsumme zu kommen.
Deswegen ja:
1. Passwort in Hashsumme in der Datenbank hinterlegen
2. Benutzer kommt -> tippt Passwort ein -> Programm wandelt -> vergleicht mit der Datenbank: stimmen Hashsummen überein stimmt auch folglich das eingegebene Passwort mit dem gerade eingetippten überein.
richtig?

und damit ist meine Frage geklärt ob es sicher ist! Ja es ist es

aber ich habe immer noch keinen Link zu diesem schönen Apache Packet gefunden oO

mfg. Dagobert

 

[Wildcard]

und damit ist meine Frage geklärt ob es sicher ist! Ja es ist es

Salted Hash ist allerdings deutlich sicherer.

 

[Dagobert]

ok ich werde später mal einen Salted Hash einbauen, aber erstmal will ich das zum Testen mit der md5 Hashsumme hinbekommen, und später wenn alles läuft dann kommt der Feinschliff.

gruß Dagobert