Sicherung von Passwörtern

[sin777]

Hallo Community,

ich würde gerne Eure Meinung zu folgendem Hören. Wenn ich bisher Passwörter, beim Erstellen eines Benutzers, in der Datenbank gespeichert habe, so habe ich das vom Benutzer (in einem POST-Formular) eingetragene Passwort mittels der SHA()-Funktion von MySQL gesichert. Jedoch wird das Passwort unverschlüsselt mittels POST an den Server geschickt. Ist das eine Sicherheitslücke bzw. sollte man das Passwort vor dem Absenden eines Registrierungsformulars schon Clientseitig verschlüsseln bzw. bringt das überhaupt einen Sicherheitsvorteil/-nachteil?


Ich bin für jede Antwort dankbar. P.S.: Ich hoffe, ich habe das richtig Unterforum gewählt.



Viele Grüße

 

[threadi]

Wenn Du den POST-Weg zusätzlich noch mit SSL verschlüsselst (https://...), dürfte es schon relativ sicher sein. Clientseitig würde ich hier nichts machen, da so der Client den Weg beeinflussen könnte.

 

[mermshaus]

Clientseitiges Verschlüsseln (per JS) soll meines Wissens dazu dienen, Man-in-the-middle-Passwortklau zu verhindern. Ich habe das selbst noch nicht eingesetzt, aber ich glaube, das Konzept ist durchaus sinnvoll, wenn kein https genutzt werden kann.