Können die Admins aus Facebook mein Passwort sehen?
Wenn ich mich in Facebook einlogge, dann gebe ich ja auch meine ID und mein Passwort ein und können die Admins von Facebook mein Passwort einsehen oder nicht?
Kann der Seiten Betreiber mein Passwort sehen?
11 Antworten
Wozu sollte er dein Passwort benötigen?
Da sowohl der Admin als auch "SeitenBetreiber" direkten Zugang auf alle deine Daten haben brauchen sie dein komische Passwort doch gar nicht.
Dass alles was Du einstellst denen völlig zur Verfügung stellst und auf jegliche Eigentums- oder Urheberrechte verzichtest, hast Du akzeptiert als Du einen Facbook Account angelegt hast.
Es werden meines Erachtens nur Hashwerte der Passwörter gespeichert. Die werden beim Login verglichen und bringen einem ohne die zugehörige Verschlüsselung nichts.
Vermutlich verfügt der Seitenbetreiber allerdings über diese Information. Daher kann er dein Passwort herausfinden - was aber nicht wichtig ist, da er als Administrator ohnehin Vollzugriff auf alle deine Daten besitzt (zumindest theoretisch)
Im letzten Semester hatte ich ein wenig Kryptographie mit SHA etc. :D
Kommt mir bekannt vor ^^
Wie genau das bei Facebook - oder sonst irgendeiner Seite ist - kann dir niemand sagen, nur Facebook selbst.
Facebook wäre aber schön dumm, würden sie die Passwörter im Klartext speichern. Jede halbwegs seriöse Seite führt jedes Mal, wenn du dich registrierst und einloggst, erst eine "Hash" Funktion auf das Passwort aus, was im Endeffekt eine mathematische Funktion ist, die irreversibel ist (bzw. ist sie schon, aber nicht mit der heute verfügbaren Rechenleistung...). Sprich, man kann z.B. aus dem Passwort "hgZtsr$3tY" den Bcrypt-Hash "$2y$12$iODe8PMlwBUjI0jt4m9sAOftt8SO89LKiDmzNH0HmCdTsrycjaH/G" machen, aber nicht umgekehrt.
In der Datenbank ist dann nur der Hash gespeichert. Wenn du dich das nächste Mal einloggst, wird dein Passwort einfach wieder gehashed und dann mit dem Hash in der Datenbank verglichen. Das Passwort selbst wird nicht in Klartext gespeichert.
Ein Indiz dafür, dass Seiten Passwörter nicht hashen und damit auf jeden Fall gemieden werden sollten, ist, wenn die Seite dir einfach dein Passwort per E-Mail zusendet, wenn du es vergessen hast. Eine Seite, die Passwörter ordnungsgemäß speichert, kennt dein Passwort nicht und kann es dir daher auch nicht zusenden, weshalb du in diesem Fall ein neues Passwort anlegen musst (welches dann wiederum gehashed und erst dann gespeichert wird).
Falls du Englisch kannst, erklärt dieses Video von Tom Scott das Ganze evtl. noch anschaulicher: https://www.youtube.com/watch?v=8ZtInClXe1Q
Und hier noch ein Wiki Artikel zum Thema Hash: https://de.wikipedia.org/wiki/Hashfunktion
Kurzum: Sehr wahrscheinlich nicht, und wenn es so wäre, wäre das ein riesiger Datenschutzverstoß.
Da du ja ein Passwort hinterlegst und dies zum Abgleich genutzt wird, kann ein Admin von Facebook theoretisch deine Daten einsehen. Praktisch wird das wohl kaum geschehen, da es Massen an hinterlegten Daten gibt, diese automatisiert verwaltet werden und Facebook in der Regel keinen Grund hat ausgerechnet deine Daten manuell auszulesen.
Eigentlich kann dass der Seiten Betreiber, aber das wäre schwachsinnig.
Das Passwort sollte Clientseitig verschlüsselt werden und dann direkt verschlüsselt übertragen werden und auch verschlüsselt in der Datenbank stehen, daher müssten die Betreiber dein Passwörtchen erstmal entschlüsseln
Hoffen wir bloß, dass das bei FB so ist! Und wenn nicht, dann möge Gottvater, der gehörnte uns allen gnädig sein ^^
Naja eigentlich müsste der Client das Passwort nicht zusätzlich verschlüsseln...
1. Die https Verbindung ist sowieso verschlüsselt
2. Kann der Server es dann nochmal hashen oder verschlüsseln wie auch immer und dann speichern
...
Verschlüsselung ist richtig, es sollte aber besser nicht clientseitig verschlüsselt werden, da der Client (= der Nutzer) die Hashfunktion dann einfach deaktivieren könnte. Das wäre ein ziemliches Sicherheitsproblem.
Die Passwörter werden auf der Serverseite verschlüsselt. Die Übertragung läuft im besten Fall natürlich über SSL / TLS verschlüsselt, das hat aber nichts mit Passwörtern zu tun, sondern mit Datenverkehr an sich.
Der Seitenbetreiber kennt zwar natürlich den Verschlüsselungsalgorithmus, der bringt ihm in der Regel nur nichts, da ein Algorithmus, der für Passwörter genutzt werden sollte, mit heutiger Rechenleistung nicht reversibel ist. Das ist der Kerngedanke einer Hashfunktion: Geht in die eine Richtung, aber nicht in die andere.
Wird z.B. mit Primzahlen etc. gearbeitet.