Зачем алгоритм хеширования знать фронтенду? Это не безопасно.
Небезопасно знать что используется, например, Sha-256? В чем же небезопасность?
А зачем? Можно и ошибки php юзерам в респонсе показывать, но зачем? Тем более, что сейчас у тебя sha-256, а завтра - нет. Клиентское приложение при этом релизить? Если да, то как быть с юзерами, которые не обновились?
Злоумышленнику известно все кроме ключа. Если ваша система удовлетворяет этому правилу, она безопасна.
Речь не о том, чтобы это показывать где-то, а о том, что знание алгоритма шифрования не является уязвимостью. Почитайте шнейера например
Так речь не о уязвимости, а о безопасности. Пока злоумышленник не знает сколько итераций sha256, он проигрывает на несколько шагов
Раньше пароли любили хешировать с помощью md5. Если кто-то знал, что хеширование делается через md5, то являлось ли это уязвимостью? Нет. Ровно до тех пор, пока там не обнаружили коллизии
А это модель 'безопасность через сокрытие'
Коллизии в md5 возможны, но выявить их... На современных системах это нереально в обозримое время
Ой ну все. Квантовый компьютер сломает все, давайте будем чеки по почте слать вместе e-banking
кстати не сложно, md5 содержит большое количество туннелей упрощающих задачу
Обсуждают сегодня