Вопрос о логистике хеширования у клиента

Question

Я нашел много сообщений о хешировании у клиента, но никто из них не ответил на мой вопрос.

Я хотел бы хэш-пароль пользователя на клиенте, так что мне не нужно отправлять простой текстовый пароль в Интернете, но у меня есть вопрос, как я могу сделать это успешно при использовании соли.

Нормальная процедура проверки достоверности пароля .. 1) пользователь вводит имя пользователя и пароль 2) Восстановление соли на основе имени пользователя 3) хэш пароля и соли 4) проверить хэш против дб

Если это все происходит на сервере, это не имеет большого значения, но это становится сложным, если вы находитесь на клиенте. 2) должен был бы быть обратным вызовом на сервер, сохраняя при этом пароль где-нибудь (без отправки его), так что .. ajax? Это лучший способ или я что-то упускаю?

Заранее благодарен!

Answer 1

Отправка хешированного пароля по незашифрованному соединению не лучше, чем отправка неподтвержденного текстового пароля. Плохой парень может перехватить хешированный пароль и воспроизвести его позже.

Вы хотите отправить реальный пароль через SSL.

Answer 2

В качестве более безопасной альтернативы отправке незашифрованных хэшей или паролей по незащищенному каналу (но еще менее безопасному, чем SSL), вы можете посмотреть Digest Authentification.

Как указано выше, отправка хэша по небезопасному каналу все равно позволит кому-то еще войти в систему как пользователь.