$ _GETが私の唯一のオプションである場合、ユーザー名+パスワードを送信する最も安全な方法

Question

私はゲームを作っており、ページを要求することができます。例：（login.php？username = myuser &パスワード= mypass）

ゲームはPHPからも結果を受け取ることができます。

現在、パスワードは暗号化されています。安全なログイン方法を達成する最良の方法は何ですか？

ありがとうございました

Answer 1

SSLを使用してください。そうすれば、パスワードで暗号化されます。

生パスワードも送信しないでください。それをハッシュしてハッシュを送る。

ハッシュされたパスワードはブラウザの履歴に残っており、リプレイ攻撃に使用される可能性があるため、それでも大きなセキュリティは得られません。これは、チャレンジ/レスポンスメカニズムを使用することで軽減できます。ログインページとともに大きなランダムなバイトシーケンス（ノンス）を含むようにサーバーを取得すると、クライアントはパスワードハッシュをこのノンスとXORして結果を送信できます。サーバーは同じXORを適用して元のハッシュを取得できます。

SSLは盗聴を防止し、ハッシュを送信することにより、カジュアルな攻撃者には少し難しくなり、ノンスはリプレイを防ぎます。それはおそらく目に見えるものの完全なリストではありませんが、それはスタートです。