Где генерируется хэш пароля при авторизации — на стороне клиента или сервера?

Question

[PragmaticProgrammer]

Довольно ламерский вопрос по теме механизма авторизации.

Каким образом вообще попадает пароль на сервер? В открытом виде или уже в виде хэша? Если в открытом виде, то как защищается пароль от перехвата снифферами? С помощью https или есть ещё какие-то механизмы защиты?

Answer 1

[fedot1325]

Пароль на сервер приходит в основном в открытом виде, можно конечно и на клиенте его перегнать в какой-нибудь sha512, но смысла в этом не очень много, оно скроет пароль в открытом виде от перехватчика, но от получения доступа не спасет. Https - единственный и самый лучший способ защиты от перехвата.

Answer 2

[vaut]

Хеш обычно получается на стороне сервера.
Я кроме https не слышал.

Answer 3

[Александр]

На строне сервера, подаиши себе бесплатный сертификат ssl у китайцев

Comments

[PragmaticProgrammer]

Нашёл уже вот это - habrahabr.ru/post/272253/. Вроде написано "совершенно бесплатно".

[Александр]

PragmaticProgrammer: www.wosign.com я тут подписывал, демонстрация - тут butalex.com

[PragmaticProgrammer]

Спасибо, попробую разобраться