Jeśli jest źle zaprojektowany to w zasadzie siła hasła usera przestaje mieć znaczenie 
To jest mniej więcej tak, jakby do ściany z regipsu zamontować drzwi pancerne
I w jaki sposób to pomoże userowi jeśli to hasło administrator będzie przechowywał w plain-txt?
Takie, że hash do jego hasła będzie unikalny. Bo może ktoś, gdzieś, kiedyś również użył hasła “elemeledudki”.
Skąd założenie, że ktoś, kto używa źle zaprojektowanego systemu będzie haszował hasła?
Chodzi o wyrobienie w sobie pewnych nawyków. Nauczenie się tzw. higieny internetowej. A jednym z elementów owej higieny jest ustawianie unikalnych, skomplikowanych haseł. Właśnie na wypadek, gdyby komuś przyszło do głowy nie haszować albo nie solić albo cokolwiek nie robić z bazą userów (np. sprzedać).
Admin przechowuje hasła bez hashowania - siła hasła usera nie ma znaczenia.
elemeledudki = elemeledudki
lC!$uNu^A\Qd = lC!$uNu^A\Qd
Admin przechowuje hasła zahaszowane - siła hasła ma znaczenie.
elemeledudki = 92a213e22a5038eb26c367233dc84f54
lC!$uNu^A\Qd = c4bf42706890b499bdb3d0c83d037aed
Admin przechowuje hasła w postaci posolonych haszów - siła hasła usera nie ma znaczenia.
elemeledudki + sól 260420171001 = e750af79e63b749e634aa70f82ff2e4d
1234lC!$uNu^A\Qd + sól 260420171005 = 48d797c8e472a06b75947e1c30dfd213
I tylko 3 spełnia podaną wyżej definicję ‘dobrze zaprojektowanego systemu’
@januszek Ja się na kryptografii nie znam, ale jeśli masz rację, że jakość hasła nie ma znaczenia, to dlaczego wszystkie serwisy wymagają względnie skomplikowanych haseł z mieszaną wielkością liter, znakami specjalnymi, cyframi, niektóre nawet sprawdzają, czy nie jest słownikowe. Czyżby oni nie wiedzieli o czymś o czym ty wiesz?
Mit silnego hasła jest tak mocny, że taki wymóg znalazł się w normach, wymogach prawnych, politykach bezpieczeństwa etc.
Rozpatrujesz tylko scenariusz ataku na bazę danych, a czy nie istnieją inne wektory ataku na hasło? Nie wiem, jakiś man-in-the-midle, albo coś? Atak na sesję przeglądarki?
O ile wiem to piętą achillesową haseł jest mechanizm na ich odzyskiwanie/reset, w przypadku kiedy user zapomni
OK, to może być prawda, ale to dalej atak na bazę danych/serwer. Pozostaje cała droga hasła na serwer i maszyna klienta.
Nie tylko. Także i na:
Atak na skrzynkę to nadal atak na serwer, tylko zamiast na docelowy, to na pośredni. W takich scenariuszach mógłbym się nawet zgodzić, że siła hasła ma drugorzędne znaczenie, bo to jest popieprzone, czy tam posolone 
Mi chodzi o to, czy nie istnieją scenariusze, gdzie siła hasła ma znaczenie, bo to jeszcze nie zdążyło trafić do bazy i zostać zabezpieczone.
Hmm, na przykład zahasłowane archiwum zip - tutaj siła hasła ma podstawowe znaczenie Jest chyba najbardziej krytyczna
To oczywiste, a nie było nawet poruszone wcześniej, co też jest argumentem do używania menadżera z silnymi hasłami.
Ja pytam cały czas o te ataki na przeglądarkę, sesję użytkownika, transmisję danych na serwer, a nawet podglądnięcie hasła przez ramię Może są jeszcze inne wektory ataku, o których nie wiem, albo nie pamiętam.
Ale to jest ciągle ten sam scenariusz, który nazwałem 1:
Admin przechowuje hasła bez hashowania - siła hasła usera nie ma znaczenia.
elemeledudki = elemeledudki
lC!$uNu^A\Qd = lC!$uNu^A\Qd
I tu owszem, jeśli ktoś podgląda przez ramię to łatwiej będzie mu zapamiętać ‘elemeledudki’ niż ‘lC!$uNu^A\Qd’ - szczególnie, że przy wpisywaniu tego drugiego pewnie user się ze dwa razy pomyli. Z drugiej strony podglądacz zobaczy, gdzie user przechowuje kajecik z hasłami więc…
Dlatego zamiast w kajeciku hasło trzymam w głowie. A oprócz tego potrzebny jest jeszcze yubikey, którego nie oddam bez walki.
Ja preferuję bezpieczeństwo totalne 
Posłuchaj mnie uważnie @januszek. Jutro o 19:45 masz samolot do Meksyku. Bilet wyśle Ci zaraz na e mail. Gdy wyjdziesz z lotniska pod czerwoną budką telefoniczną jest skrytka, otwórz ją tajnym hasłem: hajduszoboszlo. W niej znajdziesz nowy dowód osobisty, 3000 pesos i kluczyki do mieszkania na przeciwko. Od dziś nazywasz się Juan Pablo Fernandez Maria FC Barcelona Janusz Sergio Vasilii Szewczenko i jesteś rosyjskim imigrantem z Rumuni. Pracujesz w zakładzie fryzjerskim 2 km od lotniska. Powodzenia, zapomnij o swoim poprzednim życiu i pod żadnym pozorem się nie wychylaj, zerwij wszystkie kontakty, nawet z obsługą klienta z Polsatu.
My tu śmichu, chichu ale do co poniektórych dużych graczy zaczyna chyba docierać, że zbyt restrykcyjna polityka haseł może być odwrotnie skuteczna:
Okresowa zmiana haseł jest dobra w założeniach, ale zawodzi czynnik ludzki - jak w komunizmie
A to dlatego, że ludzie nie używają menadżera haseł, który im pomoże, tylko kombinują kuchennymi metodami z jakimiś karteczkami! 