php - 如果没有 ssl，如何保护注册过程

Question

我正在构建一个注册页面供用户注册成为成员(member)，并且想知道如果我没有 ssl-server 如何保证用户密码的安全。

我能想到的唯一方法是在将用户密码发送回服务器存储之前对用户密码进行md5加密，下次在登录页面时，密码输入将是带有动态 secret 种子的md5，然后再发送回服务器验证用户是否是成员(member)。

这是个好主意吗？有什么好的建议吗？我还有其他选择吗？

非常感谢任何好主意。

Answer 1

问题是您需要某种可能的窃听者不知道的客户端和服务器之间的共享 secret 才能对其进行加密。由于窃听者还可以事先监听客户端和服务器之间的所有流量，因此您遇到了某种先有鸡还是先有蛋的情况。

唯一的出路:使用公钥/私钥加密。客户端用服务器的公钥对密码进行加密后发送。唯一可能打开它的是私钥的所有者，大概是您的服务器。

看看http://www.jcryption.org ，它可能会做你想做的事。