WP
^_^
Безопасность при передаче пароля из формы.
Обычно, для обеспечения ввода пароля используют <input type="password">, и стандартные средства, в таком случае пароль, как известно, передается в открытом виде, при этом многие популярные броузеры сохраняют его на компьютере пользователя, и их просмотр не составляет труда с помощью спец. программ, или хуже того, троянских коней. Не говоря уже о spyware, и прослушивании трафика. Меня такой расклад явно не устроил и я стал думать как от этого защититься.
Для того чтобы броузер не считал парольное поле парольным, я сделал его текстовым, и сделал цвет символов идентичным фону, поэтому не видно что там написано.
Для передачи используется следующая схема: сначала клиент (броузер) запрашивает специальную строку (через AJAX), сервер генерирует её псевдо-случайным образом (32 символа a-z A-Z 0-9), а также ID этой строки (8 символов a-z A-Z 0-9), записывает эту связку в сессию, и отдает клиенту. А клиент, в свою очередь, передает на сервер MD5(строка+MD5(пароль)+MD5(строка)), и ID той случайной строки, а сервер проверяет и говорит всё ли верно, удаляя запись из сессии в любом случае.
Поделитесь опытом, кто как реализовывал такую защиту? Стоит ли пытаться реализовать ассиметричный алгоритм шифрования работающий разумное время?
Обычно, для обеспечения ввода пароля используют <input type="password">, и стандартные средства, в таком случае пароль, как известно, передается в открытом виде, при этом многие популярные броузеры сохраняют его на компьютере пользователя, и их просмотр не составляет труда с помощью спец. программ, или хуже того, троянских коней. Не говоря уже о spyware, и прослушивании трафика. Меня такой расклад явно не устроил и я стал думать как от этого защититься.
Для того чтобы броузер не считал парольное поле парольным, я сделал его текстовым, и сделал цвет символов идентичным фону, поэтому не видно что там написано.
Для передачи используется следующая схема: сначала клиент (броузер) запрашивает специальную строку (через AJAX), сервер генерирует её псевдо-случайным образом (32 символа a-z A-Z 0-9), а также ID этой строки (8 символов a-z A-Z 0-9), записывает эту связку в сессию, и отдает клиенту. А клиент, в свою очередь, передает на сервер MD5(строка+MD5(пароль)+MD5(строка)), и ID той случайной строки, а сервер проверяет и говорит всё ли верно, удаляя запись из сессии в любом случае.
Поделитесь опытом, кто как реализовывал такую защиту? Стоит ли пытаться реализовать ассиметричный алгоритм шифрования работающий разумное время?
Как при повторном визите на сайт происходит идентификация того, что я - это я?
