Open GoogleCodeExporter opened 8 years ago
Какой jabber сервер вы используете?
Если jabber.ru, то бесполезно. Он по каким-то
своим причинам постоянно меняет соль при
авторизации scram-sha-1. В этом случае хэш
хранить бесполезно. Другие сервера надо
проверять отдельно.
Original comment by li...@mail.ru
on 27 Jan 2015 at 11:57
Сервер - talk.google.com
Соль меняется, так как это безопасно -
динамическая соль называется. И почему в
этом случае хранить хэш бесполезно?
Получили при запросе на авторизацию новую
соль, хранимый хэш дополнительно
захэшировали этой солью - и отправили на
сервер. Сервер соль знает, расщифровывает
чистый хэш. Далее алгоритм шифрования тоже
известен - расшифровывается пароль.
Но главный вопрос в том, что неудобно
каждый раз при авторизации пароль набирать
- тем более, когда видно, что на самом-то
деле хэши есть - обидно :)
Вот только SHA-1 слегка того... устарело.
Кстати, Qt5 имеет все современные алгоритмы
шифрования http://doc.qt.io/qt-5/qcryptographichash.html
Original comment by branzean...@gmail.com
on 28 Jan 2015 at 2:08
> Соль меняется, так как это безопасно -
динамическая соль называется. И почему в
этом случае хранить хэш бесполезно?
В данном случае под хешем подразумевается
хеш уже соленого пароля используя механизм
SCRAM.
SaltedPassword := Hi(Normalize(password), salt, i)
> Вот только SHA-1 слегка того... устарело.
Но с учетом вышеуказанного механизма пока
вполне безопасно (мое мнение). Т.к. параметр
"i" обычно большой. j.ru, например, отдает его
равным 4096. Т.е. 4 тысячи итераций
хеширования.
p.s. в элементе <password /> хранится именно
пароль. Обсуждаемый хэш хранится в другом
месте.
Original comment by li...@mail.ru
on 28 Jan 2015 at 10:27
Увы, но в скором будущем возможны
строгости. Google переходит на Open ID Connect -
https://developers.google.com/+/api/auth-migration#timetable
На Qt ещё написали...
Original comment by branzean...@gmail.com
on 28 Jan 2015 at 2:37
Original issue reported on code.google.com by
branzean...@gmail.com
on 27 Jan 2015 at 2:29