Шифровать пароль с клиентской стороны с помощью AES?

Question

Я хочу зашифровать пароль, отправленный с клиентской стороны. Я нашел крипто-js, который обеспечивает реализацию AES. Мой вопрос в том, что если я использую «кодовую фразу» для шифрования, может ли кто-нибудь, кто может просматривать исходный код страницы, также увидеть мою «кодовую фразу»? Если у меня неправильная концепция, пожалуйста, помогите мне это очистить.

Answer 1

Нет, вы не можете просто прочитать пароль, если он не хранится в JavaScript.

Однако, практически в любом случае, когда код JavaScript может быть прочитан, код JavaScript также можно изменить. И если вы не можете доверять коду, тогда все ставки неактивны - пароль может быть отправлен или получен из любого места.

Возьмем, к примеру, интернет-кафе. Вы подключаетесь к «coffeeplace.com», но вы действительно входите в службу обмана. В этом случае любое незащищенное соединение может быть изменено. Если служба мистификации получила мошеннический сертификат ЦС, то это верно и для HTTPS-соединений.

Если вы хотите защитить пароль, вы должны отправить его по HTTPS-соединению. Если вам нужна защита уровня приложения поверх безопасности транспорта HTTPS, вы можете зашифровать пароль с помощью открытого ключа; Затем сервер может затем расшифровать его с помощью закрытого ключа.

Безопасность на уровне приложений полезна, если вы хотите хранить пароль (хэш) на своих серверах, например. Затем вы можете обработать зашифрованный пароль, используя службу в фоновом режиме.

Answer 2

Чтобы ответить на ваш реальный вопрос: да, каждый увидит кодовую фразу.

Но на самом деле, сделать некоторые исследования:

• хэширования паролей: Вы действительно должны знать обычный текст паролей пользователя?
• почему использование javascript для crypto является действительно плохой идеей практически во всех случаях использования.
• Информационная безопасность в это целое

или пожалуйста оставить информацию о безопасности для людей, которые знают свою сферу влияния. Вы, вероятно, можете ввести новые проблемы, потому что crypto is hard, даже со всеми лучшими намерениями.