Нужно ли шифровать пароль перед отправкой на сервер?

Question

[jazzus]

На сервере (laravel) пароль шифруется черезHash::make

Нужно ли дополнительно шифровать в VUE для безопасности и как? Спрашиваю т.к. по-моему где-то видел, что пароль шифруют в vue, затем видимо на сервере дешифруют и опять шифруют.. В общем, все это делаю впервые и пока плохо понимаю даже как спросить правильно)

Answer 1

[stratosmi]

Нужно чтобы связь с сервером была по https, а не по http
А Hash::make - это не шифрование, а хэширование.
По идее да, вполне можно обойтись хэшем пароля.

Answer 2

[Klein Maximus]

В самом Vue-приложении ничего шифровать не надо - это просто не имеет смысла.

Comments

[jazzus]

Я просто видел где-то (или видео или пример кода) где шифровали, а на сервере расшифровывали. Там не было чего-то сложного, может даже и не шифр был, но пароль как-то преобразовывали. Не могу вспомнить где видел.. Почему считаете смысла в этом нет? Я не специалист, но может можно как-то перехватить пароль из даты. Фантазирую)) Или и с шифром тоже можно перехватить? В общем не ясно - https или в шифры эти внедряться.

[Klein Maximus]

jazzus, чтобы пароль зашифровать на клиенте, а потом расшифровать на сервере, нужно как то обменяться ключом к шифру. А какой-тогда в этом смысл, если кроме пароля передавать по тому же каналу и ключ?
Думаю, что Вы видели не шифрование, а base64-кодирование. Хотя, и в данном случае я не могу предположить, зачем это могло потребоваться.

[jazzus]

Klein Maximus, Ага понял. Т.е. вспоминаю парвило, что на фронте нет смысла вообще что-то скрывать) Тогда что делать? https и все?

[Klein Maximus]

jazzus, да, использовать https

[Klein Maximus]

Из пароля делается хеш уже на сервере, и именно он (хэш) и хранится, а так же используется для сравнения при аутентификации по паролю (для сравнения из введенного пароля делают хэш по тому же алгоритму, что и в первый раз). Хеш нельзя обратно преобразовать в пароль (такой алгоритм, что он преобразует строку с потерей информации), поэтому даже если злоумышленник получит доступ к хранящимся хешам, то он не сможет с ними ничего сделать.

Answer 3

[Slavchuk]

Кто-то может настроить сбор логов на сервере и тогда пароль там будет лежать в не шифрованном виде.

tail -f /var/log/nginx/access.log | grep '123'
"POST ... HTTP/1.1" 200{\"login\":\"123\",\"password\":\"123\"}

Если его засолить перед отправкой, то будет лучше.