Pepper
Was ist Pepper?
PepperServerseitiges Geheimnis, das vor dem Hashen mit jedem Passwort kombiniert und getrennt von der Datenbank gespeichert wird, um Offline-Cracking nach Hash-Leaks zu erschweren.
Ein Pepper ist ein langes, anwendungsweites Geheimnis (typischerweise 32 Byte oder mehr), das jedem Passwort vor der Verarbeitung in einer Hashfunktion oder KDF zusätzlich zum benutzerspezifischen Salt beigemischt wird. Anders als das Salt liegt das Pepper außerhalb der Anmeldeinformations-Datenbank — etwa in einer Konfigurationsdatei, Umgebungsvariable oder einem HSM —, sodass ein Angreifer mit reinem Hash-Dump Passwörter nicht ohne Weiteres offline knacken kann. Üblich ist es, HMAC(pepper, password) zu berechnen und das Ergebnis an Argon2id zu übergeben, oder das Pepper als Teil des KDF-Geheimmaterials zu verwenden. Pepper ist Defense in Depth: Es ersetzt weder starke KDFs noch Salts oder Rate-Limiting, erhöht aber die Kosten reiner Datenbank-Lecks.
● Beispiele
- 01
HMAC-SHA-256(pepper, password) wird in der Anwendung berechnet und anschließend mit Argon2id gehasht.
- 02
Speicherung des Peppers in einem HSM, damit die Anwendung es nicht direkt exfiltrieren kann.
● Häufige Fragen
Was ist Pepper?
Serverseitiges Geheimnis, das vor dem Hashen mit jedem Passwort kombiniert und getrennt von der Datenbank gespeichert wird, um Offline-Cracking nach Hash-Leaks zu erschweren. Es gehört zur Kategorie Kryptografie der Cybersicherheit.
Was bedeutet Pepper?
Serverseitiges Geheimnis, das vor dem Hashen mit jedem Passwort kombiniert und getrennt von der Datenbank gespeichert wird, um Offline-Cracking nach Hash-Leaks zu erschweren.
Wie schützt man sich gegen Pepper?
Schutzmaßnahmen gegen Pepper kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Pepper?
Übliche alternative Bezeichnungen: Server-Side-Key, Pepper-Geheimnis.