ログイン中のパスワードの暗号化

Question

私たちがGmailのようなウェブサイトにログインするとき、私たちはパスワードを与えます。Now GmailはHttpsのウェブサイトなので、通過中に中間の攻撃でパスワードをManで盗聴することはできません。 MITMの場合、パスワードは平文で表示されます。

ログイン中にパスワードを暗号化するメカニズムがあります。つまり、SSL MITMの後でも、攻撃者は暗号化されたパスワードのみを取得します。

これはjavascriptsを使用するクライアント側の機能でしょうか？

しかし、クライアントはスクリプトを防止または変更することもできます。

他の方法がありますか？

Answer 1

ブラウザ/サーバーでユーザー名とパスワードをハッシュし、ビジネスレイヤーでハッシュを比較できます。これにより、MITM攻撃が防止され、BOが資格情報を検証できるようになります。

Answer 2

あなたはJavascriptを使うことができますが、あなたは（1）ユーザに安全にJavascriptを取得し、（2）暗号化を行うためにキーを交換する必要があります。

パスワードを保護するのにいくつかの価値がありますが、SSLセッションが危険にさらされた場合、MITMはセッションとすべてのデータをハイジャックするか、パスワードを変更して収集するようユーザーに促します。

OpenIdを使用できますが、認証の問題はOpenIdサーバーに移動するだけです。それでも、ユーザーの秘密をサーバーに取得する方法が必要です。

一般的に、認証された新しいセッションクッキーを確立するためのSSLによるクリアテキストのパスワードが必要です。それ以外のものは、あなたのorignalの共有秘密の問題や、SSL以外のものを持っていないWebブラウザにまで還元されます。