https - 在通过 HTTPS 发送密码之前是否需要对密码进行哈希处理？

Question

我对 Web 开发(从今年 1 月开始)和 Web 安全(在不到一周前开始!)都是新手，所以如果我的问题完全没有受过教育、误导或简单愚蠢，请原谅我。

我工作的公司的主要产品是一个很好的老式客户端/服务器系统。为了使其对我们的客户更具吸引力，我被赋予了开发一系列以简单任务为中心的 Web 应用程序的任务，这些应用程序补充了系统以整个业务流程为中心的设计。例如，如果用户在组织中的角色包括批准采购订单和付款订单，他们可能会发现使用 WebApprovals 应用程序比打开采购和财务模块并分别使用它们来批准采购订单和付款订单更容易.

不用说，我所有的 Web 应用程序都有一个登录页面。而且，当然，我需要它们是安全的。因此，根据设计，这些 Web 应用程序只能通过 HTTPS 使用，而不能通过纯 HTTP 使用。

现在，我想知道在没有任何进一步安全措施的情况下通过 HTTPS 发送密码有多安全。是否足够安全？有安防领域经验的人有什么想说的？

Answer 1

HTTPS 将处理传输安全，因此没有理由在客户端对它们进行哈希处理。如果您这样做，从服务器的角度来看，散列密码本质上就变成了真正的密码。如果有人窃取了您的数据库，那么每一行都将具有服务器期望通过网络接收的值。攻击者可以简单地创建一个直接发送散列的新客户端，而无需打扰任何真正的散列。

但是，通过网络发送的密码永远不应该存储在数据库中。相反，应该有一个每个用户的随机盐。这应该用于在服务器端散列密码。

见 Salting Your Password: Best Practices? .