security - 如何在没有 HTTPS 的情况下使用 Javascript 通过 HTTP 安全地发送密码？

Question

所有开发人员都面临的最基本问题:每当用户提交表单时，密码都会通过网络发送，并且必须加以保护。我开发的网站没有 HTTPS。所有者既不想购买 SSL 证书，也对自签名证书不感兴趣。所以我想在提交表单时使用 Javascript 保护通过 HTTP 发送的密码。

This other question没有提供任何明智的解决方案，我处于另一种情况。

如果我使用 MD5，就可以反转该密码字符串。 nonce/HMAC 怎么样？任何可用的 Javascript 库？或者您有什么建议/提示可以解决？

Answer 1

如果没有 SSL，则无法用户可以验证安全地发送密码。

当然，您可以编写一些 JavaScript，通过散列或公钥加密使密码安全地进行有线传输。但是，用户如何才能确定 JavaScript 本身在到达他们之前没有被中间人篡改，将密码发送给攻击者而不是网站，甚至只是危及网站的安全性？算法？唯一的方法是让他们成为专家程序员，让他们检查您的页面和脚本的每一行，以确保在输入密码之前是正确的。这不是一个现实的场景。

如果您希望密码免受中间人攻击，您必须购买 SSL 证书。没有别的办法。习惯它。

If I use MD5, one can reverse that password string.

不......至少不是微不足道的。虽然 MD5 对其进行攻击，但它是一种哈希算法，因此是不可逆的。你将不得不暴力破解它。

但同样，中间人攻击者不需要查看您的 MD5。他可以简单地破坏您发送给用户的 JavaScript 来生成 MD5。