密碼的安全性問題 – 筆記

《Using one-time passwords to prevent password phishing attacks》

講說可以使用一次性的密碼，當使用者註冊時候，通過使用者填寫的連絡方式，如手機或者email來發送單次密碼。之後的登入貌似也是一樣的。

 《Kamouflage Loss-Resistant Password Management》

斯坦福的。講說一般的系統都只儲存使用者的密碼S。他們提出一個架構是儲存S + （N-1）個S的變種，認為當使用者裝置被盜時，駭客破解的時間會增加。不過沒看完這篇，跟我們的需求不符。

 

Digest access authentication

It applies a hash function to a password before sending it over the network, which is safer than basic access authentication, which sends plaintext.Technically, digest authentication is an application of MD5 cryptographic hashing with usage of nonce values to prevent replay attacks. It uses the HTTP protocol.

 

密碼傳輸問題

http://zhuoqiang.me/password-transport.html

提到幾種方式：

①HTTPS

②用戶端md5後傳給server端，但是這樣不能防止駭客直接使用散列後的MD5值來通過server端的認證。

改進的方法：server端傳給用戶端一個隨機值做salt，然後使用salt和之前的MD5值再進行MD5。但是這樣也存在漏洞，就是駭客可以劫持session。

③使用軟鍵盤或者自己寫一個密碼輸入的用戶端……