Chiffrement du mot de passe

Question

Je souhaite crypter le mot de passe dans JQuery et le décrypter dans les servlets. S'il vous plaît dites-moi quel algorithme dois-je utiliser et comment mettre en œuvre cette chose.

Answer 1

Un simple spot de googling aurait obtenu le answer. Les algorithmes disponibles semblent être Blowfish, SHA et Rc4. Si vous voulez décrypter blowfish serait le chemin à parcourir. Pour les ensembles de données plus petits, vous pouvez utiliser rc4.

Pour un exemple pratique, regardez comment Yahoo fait ses logins. Le formulaire de connexion a un champ caché qui agit comme le sel appelé ".challenge", ceci est incorporé dans le hachage comme suit: fullhash=MD5(MD5(passwd)+challenge)

Answer 2

Ceci est un problème de chiffrement classique. Les hachages à sens unique décrits par whatnick fonctionneront mais il y a des problèmes de sécurité. Notamment, un attaquant peut effectuer une attaque de rejeu puisque le hachage ne peut pas être salé, ce qui signifie que l'utilisateur peut seulement envoyer le hash correspondant à l'hast stocké dans la base de données. En d'autres termes, c'est presque la même chose que d'envoyer le mot de passe en texte brut.

La seule façon de le faire correctement est avec un chiffrement de clé publique non symétrique tel que RSA. J'ai vu un Javascript implementation here. Je dirais que c'est plus compliqué que nécessaire et que faire une connexion sécurisée via SSL est probablement la chose la plus sûre et la plus facile à long terme.

Answer 3

Vous souhaitez utiliser HMAC. Fondamentalement, vous envoyez 2 sels au client. Vous stockez dans votre base de données

md5(salt + pwd)

vous envoyer un salt2 unique et le sel db à l'utilisateur final, qui retourne

md5(salt2 + md5(salt + pwd))

puis vous comparez à ce même côté serveur d'opération .

Tant que vous faites varier le sel envoyé et n'acceptez pas les anciens, il est à peu près aussi sûr que vous obtiendrez sans SSL. Vous ne voulez certainement pas essayer d'utiliser AES ou RSA quelque chose de similaire.

Si vous n'aimez pas md5, utilisez un autre algorithme de hachage de votre choix.

Answer 4

En ce qui concerne la façon de la mettre en œuvre, les choses ont évolué depuis la question a été soulevée et il semble que CryptoJS devrait le rendre facile:

http://code.google.com/p/crypto-js/

NOTE - Je n'ai pas utilisé encore!