java - 如何从 Post 请求 url 和浏览器转储中隐藏密码

Question

这可能是一个老问题，但我仍然没有找到这个问题的正确答案，所以请耐心等待。我有一个 https 登录页面，它使用表单发布方法并将凭据发送到服务器......等等。

登录时，如果使用IE和F12进行网络监控，点击开始抓包。你可以看到一些类似于登录的 URL，servetloginauth(来自 gmail.com)，你可以看到带有你的用户名和密码的请求正文。好吧，有人会争辩说，只有当用户没有注销时你才能看到。

现在注销并且不要关闭浏览器并从任务管理器中获取浏览器转储(任何浏览器，任何版本)(我不确定如何在 Mac 中执行相同操作)。使用 WinHex 编辑器打开转储文件并执行搜索/查找:"password="或实际密码(因为你测试自己的登录，你已经知道你的密码)。您可以看到明文密码。

现在我的问题是，如何屏蔽密码:1.在Post请求URL中2. 或者当浏览器将我的凭据保存到转储时，我需要对其进行屏蔽/加密或者根本不应该保存密码。

我的 jsp 代码:

<s:form id="login" name="loginForm1" action="login" namespace="/" method="post" enctype="multipart/form-data" >  
      <fieldset><!-- login fieldset -->
        <div><!-- div inside login fieldset -->
                <div....
                  <label for="password" class="loginLabel">Password</label>
                  <input type="password" name="password" id="password" class="longField nofull absPosition" size="16" autocomplete="off" alt="Password" placeholder="Password" title="Password|<

我目前的解决方案如下，但我需要任何替代方案而不需要太多努力。

The password can be read from the memory if it is being sent as cleartext. Using the salted hash technique for password transmission will resolve this issue. Hashing is a cryptographic technique in which the actual value can never be recovered. In the salted hash technique, the passwords are stored as hashes in the database. The server generates a random string, salt, and sends it along with the Login page to the client. A JavaScript code on the page computes a hash of the entered password, concatenates the salt and computes a hash of the entire string. This value is sent to the server in the POST request.

The server then retrieves the user's hashed password from the database, concatenates the same salt and computes a hash. If the user had entered the correct password, these two hashes should match.

Now, the POST request will contain the salted hash value of the password and the cleartext password will not be present in the memory

SHA 256 is a strong hashing algorithm available today – readymade implementations in JavaScript are available and quoted in the "Good Reads" section.

Note: For pages containing sensitive information or pages wherein data can be modified in the database, use JavaScript to flush the memory of the browse

图片如下。

另外，我可以接受花旗银行在其网站上为客户所做的一些事情。我登录了网站，在转储中我看到我的用户名被屏蔽了(因为它出现在网站上)，我也需要对密码字段做同样的事情。有人可以向我解释如何去做吗？

Answer 1

您所建议的内容存在严重的安全漏洞。如果您在浏览器上计算哈希值然后发送到服务器(没有密码)，那么服务器将无法相信浏览器实际计算了哈希值。黑客可能只是读取了散列值的文件并构造了一个程序来发送散列值。安全来自服务器(一个可信的环境)具有无法从散列中猜测的密码，然后向自己证明密码产生哈希。

如果您同时发送哈希值和密码，那么您还没有解决密码以明文形式提供的问题。

如果您对密码进行多次哈希处理，似乎有一种方法。您可以在浏览器上对密码进行一次(或多次)哈希处理，并将其用于服务器上的后续哈希调用。多次散列似乎很正常(尽管尚不清楚这在多大程度上使其更安全)。关键是浏览器将持有一个中间值，该值不会告诉您用户输入的密码。但是，它仍然会告诉您需要发送到服务器以验证用户身份的值。该值实际上是密码的代理，可用作调用服务器的密码。但是……这不是用户输入的密码。

最后一种方法看起来可行:使用非对称加密。服务器提供盐值和公钥。密码使用公钥加密，只能通过服务器上保存的私钥解密。由于 salt 值在每个 session 中都会更改，因此保存在内存中的加密值本身将无法在另一个 session 中使用。服务器解密该值，提取盐，为其提供密码以继续进行密码验证。