Das bedeutet dann, dass du Hashalgorithmus, Rundenzahl und Salt an den User übermittelst und einen passenden Hash zurückhaben möchtest. Gegen Abgreifen änderst du diese Parameter am Besten jedes mal. Hat nur zwei Mankos: Der Dienst muss das PW im Klartext speichern und du bist über die Frage, ob Hash oder PW übertragen werden sollte weit hinaus. Du hast dir dann nämlich praktisch ein Challenge-Handshake-Verfahren geschaffen. -- Widar23 13:16, 11. Jul. 2014 (CEST)