[estak]

Jak to jest z hashowaniem hasła po stronie klienta? Jeden rabin mówi hashowac inny mówi że w #!$%@? i nie hashowac. Połączenie z serwerem przez https.
#programowanie #naukaprogramowania

[Loperamid]

@estak: w sensie podczas logowania haszować i wysyłać zahaszowane? a jakie z tego płyną korzyści?

[agent_resistance]

@estak jak bez https to xD
#!$%@?, najlepiej z solą.

[estak]

@agent_resistance czyli hashowac po prostu "na wszelki wypadek"? Ciężko mi dostrzec jakieś zagrożenie bo HTTPS ale security dopiero chłonę.

@Loperamid spotkałem się że stwierdzeniami, że HTTPS to nie jest silver bullet i nie powinno się tylko na nim polegać

[Saly]

@estak: jak policzysz hash po stronie klienta to i tak musisz zrobic validacje po stronie backendu, której nie zrobisz, bo hash działa w jedną stronę. Bez sensu

[Loperamid]

@Saly: Zrobi, może po stronie backendu trzymać hash hasha.

[Saly]

@Loperamid: wtedy nie zrobisz walidacji jakości hasła. Jak wyślesz do backendu takie hasło bcrypt("b", 18) == $2y$18$s0YDqYrp8Ktzp96r/udEMuIpS92aYRUzMYt7jJc.S9VofsuGIW8/a to skąd backend ma wiedzieć, czy liczba znaków jest wystarczająca, albo czy są użyte specialne znaki i cyfry? W tym wypadku obniżamy security (możlwie, że coś pomieszałem, jak tak to przepraszam)

[Loperamid]

@Saly: Zgadza się

[kao3991]

@estak: obniżasz w ten sposób bezpieczeństwo, i to potężnie, wręcz zasadzie tracisz korzyść z hasowania hasła w ogóle :) Bo to znaczy że serwer trzyma w bazie nie hasha ciągu potrzebnego do zalogowania, a ten ciąg.
Więc jeśli ktoś wykradnie Twoją bazę czy też ona wycieknie, to już potrafi się zalogować, w odróżnieniu od logowania hasłem gdzie trzeba jeszcze wyciągnąć hasło z hasha - a to jest często nieopłacalne i po

[Hauleth]

wtedy nie zrobisz walidacji jakości hasła

@Saly: i #!$%@? dobrze. Największy rak to te "oceny jakości hasła". Jak zrobię hasło Chrzęszczyrzewoszyckie chrząszcze chrobotliwe chrzęszczą w chaszczach. (które takiej walidacji nie przejdzie, bo nie ma cyfry) to to jest milion razy bezpieczniejsze niż @Licj4-1998 (które już przejdzie). Przez te N lat istnienia internetu nauczyliśmy ludzi tworzyć hasła trudne do zapamiętania przez człowieka a łatwe do złamania przez komputer.

@estak: tylko i

[Myzreal]

@estak: Nigdy nie wysyłasz hasła z klienta do serwera bezpośrednio, robisz lokalny hasz z solą i to leci do serwera i siedzi w bazie. Po stronie serwera nikt/nic nie wie co było wpisane w pole tekstowe przez użytkownika. Serwer posiada tylko hash dzięki któremu jest w stanie sprawdzić potem przy logowaniu, czy wpisane hasło jest zgodne z tym które było wpisane wcześniej, bez wiedzy o tym jak to hasło brzmi. To

[oxfox]

@Myzreal: no i po co? a gdzie trzymasz ta sol? Lokalnie w cookies klienta? XD a jesli jej nie trzymasz to i tak znasz sol i klucz prywatny i kazdy go zna. Bez sensu. Nikt nie #!$%@? hasla lokalnie bo to nie zwiekszy bezpieczenstwa w zaden sposob.

[kao3991]

@Myzreal: wycieka Twoja baza, więc wchodzę w posiadanie Twojego hasha z solą. posiadając go mogę przerobić klienta tak żeby nie hashował tego co wpiszę w pole "hasło" i tylko wysłał 1:1 jakie podałem, albo po prostu robię se postmanem/curlem/czymś request do logowania przesyłajac znanego mi hasha. Gdzie jest to super bezpieczeństwo? gdyby logowanie było "po staremu" z wysyłaniem hasła to wykradnięcie hasha nic by mi nie dało.