passwords - 传输前对密码进行哈希处理？ (网络)

Question

我正在读这篇文章Ars article关于密码安全，它提到有一些网站“在传输之前对密码进行哈希处理”？

现在，假设这不使用 SSL 连接 (HTTPS)，a.这真的安全吗？ b．如果是的话，你会如何在安全的庄园里做到这一点？

编辑1:(基于前几个答案的一些想法)

c.如果您在传输之前对密码进行哈希处理，那么如果您仅在用户凭据数据库中存储密码的加盐哈希版本，那么如何使用它？

d.只是为了检查一下，如果您使用的是 HTTPS 安全连接，是否有必要这样做？

Answer 1

只有当服务器发送不可重复使用的盐(当然，如果您使用安全哈希)时，这才是安全的。

否则，攻击者可以简单地嗅探用户的哈希值，然后重播该哈希值以用户身份登录。

请注意，登录容易受到中间人攻击。