Сложность в понимании механизма безопасности пароля при входе в систему? - PullRequest
0 голосов
/ 03 января 2012

На нашей странице входа мы вводим имя пользователя и пароль, а затем отправляем форму.Пароль отправляется на сервер, где он шифруется с использованием некоторого алгоритма, а затем сохраняется в базе данных.Но когда он публикуется на сервере, его можно увидеть в данных поста firebug.Так как это безопасно, я видел похожую реализацию и в других случаях.Он не может быть пойман в ловушку между временем, полученным от клиента к серверу.

Ответы [ 2 ]

3 голосов
/ 03 января 2012

Firebug может видеть пароль, потому что он действует как прокси на вашем клиенте (одна из двух конечных точек коммуникационного пути).SSL / TLS (https) шифрует данные, передаваемые между двумя конечными точками (представьте себе, что это защищенный туннель, где единственный способ увидеть реальные данные внутри - это оказаться на одной из конечных точек).Поскольку Firebug работает на клиенте, он имеет доступ к конечной точке, где данные не шифруются.Подумайте о туннеле, в который вы можете передавать данные, который будет защищен при транспортировке;Firebug находится у входа в этот туннель, поэтому он может видеть все, что входит (и выходит).

Как минимум, отправка паролей (и любых других конфиденциальных данных) должна осуществляться через SSL / TLS, чтобыне позволяйте кому-либо / чему-либо, находящемуся не в конечной точке туннеля, видеть данные.В идеале вам нужно запускать все через https, чтобы предотвратить атаку перехвата сеанса (все об этом вы можете прочитать в кратком обзоре Википедии ).Любой сайт, не шифрующий хотя бы обмен учетными данными (паролями и т. Д.), Не следует передовым отраслевым практикам и должен рассматриваться как небезопасная реализация.

1 голос
/ 03 января 2012

да, вы правы. Если данные отправляются в виде открытого текста на сервер, они могут быть записаны в Transit. Следовательно, всегда используйте HTTPS-соединение.

...