Inviare stringhe in SHA1

[br1]

Forse ti sfugge che con questo metodo non e' piu' necessario intercettare la password... basta intercettare l'hash che e' in chiaro e reinviare quello ...

[fermat]

Forse ti sfugge che con questo metodo non e' piu' necessario intercettare la password... basta intercettare l'hash che e' in chiaro...

no non mi sfugge.
ma io nel campo password non ci scrivo l'hash.
se ce lo scrivessi, risulterebbe cmq password errata (andrei a calcolare l'hash dell'hash).
e quindi dovrebbero prima risalire alla parola da cui deriva l'hash.
sicuramente una rottura in più, no?

a meno che non sia banale questa operazione, e allora ovviamente le due cose sono equivalenti.
ma pensavo di no....

[U235]

no non mi sfugge.
ma io nel campo password non ci scrivo l'hash.
se ce lo scrivessi, risulterebbe cmq password errata (andrei a calcolare l'hash dell'hash).
e quindi dovrebbero prima risalire alla parola da cui deriva l'hash.
sicuramente una rottura in pi�, no?

a meno che non sia banale questa operazione, e allora ovviamente le due cose sono equivalenti.
ma pensavo di no....

Qualsiasi cosa invii tra client e server in chiaro, pu� essere riutilizzata da chiunque intercetti i dati in transito. Non ha importanza se � un hash o una stringa criptata o ancora in chiaro, tanto una terza parte la pu� copiare cos� com'� e inviarla a sua volta.

Se invece il tuo intento è nascondere le password ad un eventuale male intenzionato che ha accesso al database, allora stai facendo in maniera corretta, ma non è necessario coinvolgere il client in questo caso, lavori solo sul server.