Moyen approprié d'envoyer le nom d'utilisateur et le mot de passe du client au serveur

Question

Cette question n'est pas spécifique à la langue. Je suis curieux de savoir comment envoyer correctement le nom d'utilisateur et le mot de passe d'un formulaire de connexion de site Web à un serveur.

Ma conjecture est de hacher le mot de passe, de mettre le nom d'utilisateur/mot de passe dans le corps POST et de l'envoyer sur HTTPS . Quelle est la meilleure façon ?

Pour faire bonne mesure, je mentionnerai une méthode moins qu'idéale :

 http://www.somesite.com/login?un=myplaintextusername&pw=myplaintextpassword

Answer 1

Vous devez toujours utiliser HTTPS et éviter le code homebrewed. SSL s'occupera du hachage et du cryptage. C'est la SEULE méthode sécurisée.

Assurez-vous également que vous hachez les mots de passe côté serveur et que vous stockez le hachage, pas le mot de passe d'origine. Comparez ensuite les hachages pour vérifier les connexions. Cela empêchera les attaquants de lire les mots de passe en clair directement à partir de votre base de données si celle-ci est compromise.