Javascriptまたはバックエンドでログインパスワードを暗号化する必要がありますか？

Question

私は、Html、Css、Javascript、およびPhPを使用している小さなウェブサイトを持っています。 Webサイトには、ユーザーがパスワードを入力する必要がある基本ログインページが含まれています。その後、パスワードはphpに送られ、phpはSHA-512を使用して暗号化され、データベースに追加されます。

私は不思議に思った。これは物事をするための好ましい方法ですか？私はjavascriptを使ってパスワードを暗号化し、それがすでに暗号化されているときにphpに送る方が良いかもしれないと思った。少なくともそのように、元のパスワードはPOSTリクエスト内にはありません。

本当に正しい方法ですか？誰かが私が使っている暗号化の種類を見ることができれば悪くないですか？

Answer 1

暗号化されたものがクライアント側で何も解決しないことに気づかなければなりません。何かを暗号化して送信し、サーバーがそれを使ってユーザーを認証すると、その暗号化された値は事実上のパスワードになります。攻撃者は、要求を傍受し、暗号化されたパスワードを読み取り、同じ要求を再度送信すればよいだけです。 クライアントサイドを暗号化することで何も得られません。

暗号化されたパスワードハッシュをサーバー側に保存し、暗号化されていない状態でSSL/TLSを送信し、送信された認証サーバー側のハッシュを計算して保存します。

たぶんここを見て：

セッション管理チートシート - OWASPを https://www.owasp.org/index.php/Session_Management_Cheat_Sheet

Answer 2

サイード・パスワードは、その順番で、SHA-512を使用してそれを暗号化し、それを追加してPHPに送信され データベースへ。

代わりにhow to store passwords safelyを知りたいかもしれません。

JavaScriptを使用してパスワードを暗号化し、すでに暗号化されている場合はphpに送信する方が良いかもしれないと思いました。少なくともそのように、元のパスワードはPOSTリクエスト内にはありません。

参照：Javascript Cryptography Considered Harmful TLSはこの問題とそれを好む多くの人にとって正しい解決策です。