защита текста паролем js

Сервер отправляет клиенту случайное число Rnd шифрованное на H(pwd) клиента;

Клиент отправляет серверу свой Login;

Сервер хранит в БД хэш пароля клиента H(pwd);

Ниже приводится пример того как можно защитить передаваемый пароль от перехвата, не создавая дополнительной угрозы. При этом небольшие переделки коснутся только вашего сервиса и не затронут ваших пользователей.

Как же обстоят дела сейчас? Наиболее типичная ситуация состоит в том, что сервер хранит в БД hash пароля пользователя H(pwd) и в процессе аутентификации, получив пароль от пользователя, вычисляет hash и сравнивает его с эталоном. Хранение в БД значения хэша пароля, вместо самого пароля, позволяет защититься от кражи аутентификационных данных недобросовестным администратором или сторонним нарушителем. Но несмотря на это каждый раз при аутентификации пароль передается в канале связи в открытом виде. А перехват пароля дает злоумышленнику полный доступ к соответствующему аккаунту. Для защиты от перехвата пароля был придуман механизм . Я немного упростил алгоритм для лёгкости понимания. При каждом сеансе сервер посылает клиенту случайное число Rnd, клиент в ответ посылает H(Rnd+H(pwd)). В результате перехват ничего не даст злоумышленнику, однако теперь появляется слабое место БД сервера. Хранимый в БД пароль или хэш пароля позволят воссоздать необходимый для авторизации ответ клиента. Хищение такой БД становится серьезной угрозой безопасности механизма аутентификации.

Использование https при аутентификации уже давно стало правилом хорошего тона. Однако, необходимость покупки сертификата приводит к тому, что многие владельцы web-ресурсов по прежнему используют для аутентификации открытый канал и ваши пароли доступа могут быть перехвачены злоумышленником, имеющим доступ к сети, в которой вы работаете. Следует отметить, что использование https в общем случае не гарантирует защиты от перехвата передаваемого трафика. На сегодняшний день существуют решения, основанные на использовании специальных прокси и доменных политик, позволяющие успешно читать https трафик в корпоративных сетях. Далее о том, как все же защитить пароль от перехвата.

Защита пароля при передаче по открытому каналу (часть 1)

Защита пароля при передаче по открытому каналу (часть 1) / Хабрахабр