Wie hast du getestet?
Mein Passwort ist einzigartig, nämlich einzig und ich nutze es artig überall 
Im Ernst, wenn die an die Datenbank kommen, dann können die doch ein den Log-Eintrag löschen, oder sehe ich das nun falsch?
Hm, danke für die Info, aber klar komme ich damit technisch so gar nicht. Da ist also einer, der hat Lese- und Schreibrechte für die Datenbank. Die Passwörter sind verschlüsselt. Wie werden die denn bitte nun mit einer neuen "Spalte" entschlüsselt? Das würde ja nur gehen, wenn man die Verschlüsselung umgeht und das geht nur, wenn man sich einloggt und von denen direkt die Daten abgreift, die der Browser sendet. Dazu braucht man aber keinen DB-Zugriff, sondern Server-Zugriff.
Danke Alex, nun ist es klar. Also kein wirklicher Datenbankangriff mit einer extra Spalte, sondern eher Serverangriff. Denn ohne modifizierte PHP-Dateien kommen die nicht an das echte Passwort.
Ist also so, wie oben geschrieben von mir. Da muss man an die Quelle ran und die ist nicht die Datenbank, sondern die Dateien. Der Browser sendet unverschlüsselt. PHP verschlüsselt dann und gleicht dann mit dem verschlüsselten Kennwort der DB ab. Gut, dazwischen kann man eingreifen und eben das vom Browser gesendete Kennwort direkt abfangen, bevor es verschlüsselt wird. Also doof gesagt, bevor PHP verschlüsselt, das Kennwort einfach in eine neue Spalte in Klartext schreiben.
Geht dann aber auch nur für die, die sich neu einloggen. Die, die es schon sind, die senden kein Kennwort.
2FA habe ich in keinem System von mir, die Kunden würden es auch nicht wollen. Ich selbst hasse es auch schon. Wenn mir ein System die Wahl lässt, mit oder ohne, dann nehme ich ohne. Ich hasse es, wenn man erst mal das Handy holen muss oder sonst was, nur weil man sich einloggen will.
Naja, über die FIDO ließt man auch nicht unbedingt nur Gutes..... Auf so einen würde ich mich aber sogar noch einlassen.
