Как сервер получил пароль на первом месте? Предварительная регистрация (Digest Authentication)

Question

Во всех объяснениях, которые я прочитал относительно аутентификации Digest, они говорят о сохранении хэша паролей уже на сервере.

Что я спрашиваю, так это процесс регистрации, как этот хешированный пароль попал на первое место?

Означает ли, что осуществление древнейшей переваривать аутентификации открыта воображению т.е. при регистрации на сервере будет генерировать пароль и отправить его по электронной почте, или использовать соединение SSL, когда пользователь регистрируется только или что? Есть ли какой-то стандартный процесс, который поставляется с аутентификацией Digest, которую я пропустил?

Примечание: Я не осуществляю, я только изучаю; Я знаю, что аутентификация дайджеста имеет свои недостатки, и есть лучшие способы, я просто хотел иметь полный образ всего процесса.

Примечание 2: Я замечаю, что кто-то голосует, чтобы закрыть вопрос «это не вопрос программирования», я считаю, что есть крошечное заблуждение, когда я сказал, что не реализую. Я имею в виду в примечании 1. Я имею в виду не внедрение в настоящий производственный проект, но я хочу понять, что концепция дайджест-аутентификации реализована, и мой вопрос по-прежнему ясен и прост, «как пароль попал на сервер в первую очередь».

Answer 1

Пароль пользователя хранится на сервере, а не в hasg. Каждый раз, когда пользователь хочет аутентифицировать сервер, создается случайная переменная (чтобы предотвратить повторную атаку) и отправляет ее пользователю. Пользователь использует nonce и другие данные, такие как url ​​и realm, чтобы создать хэш. Сервер делает то же самое на своей стороне, и если эти два пользователя хеш-совпадения аутентифицируются.

Все это сделано для предотвращения отправки пароля в виде открытого текста. когда-нибудь зашифрованное соединение (ssl) недоступно, поэтому вместо отправки имени пользователя используется хеширование пароля. да, вы правы, пароль должен делиться с группой по телефону или другому зашифрованному соединению.