android - ObjectOutputStream:这安全吗？

Question

我正在开发 Android 应用程序，我想提交用户名和密码。我现在正在做的是:

1. 为密码创建哈希值

2. 通过 HTTP 请求连接到身份验证服务器

3. 通过 ObjectOutputStream 发送用户名/哈希密码

我这样做是因为这是我可以利用我所获得的知识自行实现的唯一解决方案。

但是我当然要担心一个问题:这有多安全？我知道，没有 100% 的安全。但这是一个非常糟糕的解决方案，还是平均水平？

Answer 1

这不安全，因为登录名/密码未加密。你应该做的事情是:

• 使用 https 而不是 http 连接进行登录
• 在对密码进行哈希处理之前将盐添加到您的密码中(用户名作为盐是可以的)
• 使用序列化作为数据协议(protocol)不是很方便——它不提供任何额外的安全性，但会非常糟糕调试时...

盐:如果两个用户拥有相同的密码，他们也将拥有相同的哈希值。这可以使用彩虹表(谷歌)轻松恢复。为了避免这种情况，密码应该用一些盐进行哈希处理，所以不要使用:

hash(password);

你应该使用:

hash(salt+password);

其中 salt 可以是一些在应用程序中硬编码的相当长的随机字符串(防止彩虹攻击)或只是用户名，因为它可以在服务器端和应用程序端轻松访问。