安全、密码学 : Stupid Challenge - Response protocol?

Question

好吧，大家只是一个小游戏:

我有一个项目的一些规范。在某些时候，他们要求以下内容通过网络加密密码，并说这是一个质询响应协议(protocol):

CLIENT ----------------------------- SERVER(1)ask for challenge -------------->(2)    <---------------------------- send SHA1 taken from the time                                       (this is the challenge)(3) make SHA1 xor PASSWORD --------> if it's equal to SHA1 xor stored password(4)    <---------------------------- Grant access

对于那些不知道的人来说，SHA 代表安全散列算法，一种加密标准算法。

我希望这是清楚的。问题是:如果我嗅探数据包 2 和 3(“挑战”和“挑战异或密码”)，我确实得到了实际密码，只是在它们之间进行了另一个异或!？!？还有其他方法来实现这种协议(protocol)??

Answer 1

您将能够对密码进行逆向工程。您想要发送密码的 SHA，而不是密码本身。推出自己的安全协议(protocol)几乎从来都不是一个好主意。不能使用 SSL 或类似的东西吗？

http://en.wikipedia.org/wiki/Cryptographic_nonce