[schnodo]

Zitat von anneliese

Falsch. Lässt sich aber auch leicht überprüfen (Einfach mal den Netzwerkverkehr bei einem Login anschauen.). Das Passwort wird MD5 gehasht übertragen.

Okay, das macht es ein klein wenig schwieriger. Aber in diesem Fall liefert man z.B. eine geänderte Fassung der Login-Seite aus, in der der md5hash()-Aufruf ersetzt ist. Oder kümmert sich halt im Nachgang mit brute force oder einer anderen, geschickteren Strategie darum. Man hat ja dann Zeit.

Außerdem klappt das Client-seitige Hashen nur mit eingeschaltetem Javascript. Was aber kein wirkliches Gegenargument ist; ohne geht ja heutzutage fast gar nichts mehr.