JavaScript哈希在AJAX登录调用，更安全？

我的问题（S）是/是：

如果您需要发送密码（并且如果可能的话，还有其他所有情况，也有登录会话cookie），请使用SSL。 – Thilo

其实这可能是一个主要的安全问题。密码被散列的原因是计划失败的一种手段。攻击者可能访问数据存储（sql注入），然后获得散列。如果您只是使用哈希登录，那么攻击者不必破解已恢复的哈希以访问应用程序。

重播攻击也是一个问题。如果我在认证期间嗅探哈希，什么阻止我重播该请求进行身份验证？

使用消息摘要功能进行身份验证的协议为客户端提供了一个随机数，用作一次性salt。微软的SMB NTLM身份验证就是一个很好的例子，但它有a lot of problems。

USE SSL，而不仅仅是登录。 OWASP A9指出会话ID绝不能通过不安全的通道泄露。毕竟谁在乎密码，如果你只是在几毫秒后泄漏真正的认证证书。

大多数人不会为登录实施CSRF保护。毕竟攻击者首先必须知道密码，所以“会议骑行”是一个有争议的问题。

2011-11-18 02:30:27 rook

出于好奇，如果您在提交之前对密码使用公钥加密，然后使用匹配的私钥解密服务器上的密码，那会更好吗？ – Esailija

@Esailija不对称加密有其自身的问题，如重播攻击，缺乏IV。但更重要的是，如果你不保护会话ID，那么你没有保护任何东西。任何攻击者嗅探导线都将具有完全访问权限。 – rook

啊，是的，应该更多的思想阅读你的答案。我完全错过了第三段的最后部分......非常感谢您的回答。 – Esailija

如果攻击者知道你在使用什么哈希，那么他们可以破解它。如果你想添加一个盐，你必须把它发送到浏览器，攻击者可以拦截它。将时间用作盐也是行不通的，因为只有相对较短的时间，所以他们也可以解决这个问题。

2011-11-18 02:33:01 qw3n

“哈希”（与加密相反）通常是不可逆的。 –

@DavidGelhar谢谢，我改变了措辞，这是我的一个糟糕的选择。 – qw3n

@大卫Gelhar他意味着一个微不足道的攻击。开膛手约翰或者雨虹应该这样做。 – rook

稍微放一边，但在回答问题3。另外请记住，AJAX和标准格式也就像不安全一样。

实施安全认证非常困难。除非你是做学术练习，否则我会强烈建议使用你的框架提供的库，如果你有足够的幸运有一个好的。

您还需要考虑诸如以下等事情。

2011-11-18 12:10:47 Cheekysoft

这太棒了！是否在PHP的session_start（）函数中内置了“确保2个会话不能同时具有相同的会话ID”？ –

@JosephSzymborski是的。你可能会发现这个有趣的重新php http://phpsec.org/projects/guide/4.html – Cheekysoft

回答