웹 응용 프로그램의 인증 처리

Question

사용자 이름과 암호를 일반 텍스트로 보내지 만 HTTPS를 사용합니다. 다음 서버 해시 (소금 + 비밀 번호) 및 비교 해시와 DB에. (소금은 사용자마다 다름)

Doin 'it right? :)

건배

PS : 나는 루비 /시나를 사용하고는, 거 lighttpd를 통해 제공, 나는 생각한다.

Answer 1

정말 위협 모델링에 따라 다릅니다. HTTPS는 man-in-the-middle 공격을 받기 쉽기 때문에 피싱 (Phishing)이 위협이 될 것으로 예상되면 인증 프로토콜을 개선하는 것이 좋습니다.