Работает ли моя система входа в систему?

Question

Я строю систему входа в систему для веб-сайта без SSL, так что вот мой инструмент:
У меня есть таблица на сервере, которая имеет два поля: необработанное имя пользователя и pass_hashed (hased with sha1 (пароль)). Когда-либо пользователь входил в мою систему, я делаю:

1. создать ключ.
2. password_hashed = sha1 (ключ + sha1 (пароль))
3. отправить 3 значения: имя пользователя, ключ, password_hashed

В стороне сервера:

1. проверить, если ключ был сохранен в если да, сделайте логин неверным, иначе сохраните ключ в базе данных.
2. запрос для информации о пользователе на имя пользователя, а затем сравнить sha1 (key + pass_hased) и password_hashed.

Мой вопрос - мой метод в порядке? Если да, могу ли я использовать ключ как временную метку?

Answer 1

Хотя ваше решение лучше, чем ничего, оно в конечном счете является недостатком. Это связано с тем, что в какой-то момент во время процесса регистрации пользователя они должны отправлять только часть информации. Если в этот момент информация захватывается по проводу, любой логин может быть повторен позже.

Вам действительно нужен SSL.

Answer 2

Да, комбинация, похоже, в порядке. Вы хотите использовать временную метку для генерации ключа?

Если это так, вы можете начать с него, но попробуйте различные комбинации, которые помогают повысить безопасность.

Answer 3

Как было предложено другими пользователями, система, которую вы внедрили, небезопасна и может привести к проблемам безопасности. Если вы собираете информацию о клиенте, вы должны использовать сертификат SSL. Это не будет стоить дороже. его началось с всего лишь $ 7!