Скрыть используемый пароль

[Павел]

Здравствуйте! Подскажите, если не трудно, как в Java-Script осуществить такую операцию: в текстовое поле будет вводиться код - при нажатии на кнопку этот код будет сравниваться с начальным (реальным), так если я реальный код пропишу в HTML-коде, его все будут видеть. Я так думаю, его надо записывать в каком-то текстовом документе, а потом его от туда считывать. Помогите, пожалуйста!!!

[Sla]

самый безопасный способ - отправлять введенный пароль через ajax

[Павел]

А если я подгружу код Java-Script из файла типа file.js, посетители сайта смогут прочитать этот файл?

[RXL]

Павел, все, что можно загрузить в браузер - все это можно прочитать.

[Павел]

Спасибо! Мне подсказали (см. выше), что самый безопасный способ - отправлять введенный пароль через ajax. Подскажите, пожалуйста, как это осуществить, если не трудно!

[Sla]

совсем не трудно, но для этого нужно ознакомиться с теорией.

http://dklab.ru/lib/JsHttpRequest/ - и теория и практика

Кроме того js фреймворки используют ajax методы (jquery, mootools etc)

[Павел]

То есть можно осуществить это и в Java-Script?

[Sla]

так отправка с помощью ajax и есть js.

Вот что еще вспомнилось

есть библиотека js, что-то типа md5.js (не помню, помню только что видел применение)
Идея в том, что Истинное значение кодируется на сервере, отсылается я в браузер вместе с контентом. Браузер кодирует ответ (содержимое введенное пользователем) и сравнивает с с полученным от сервера.

[Павел]

Если не сложно, напишите, пожалуйста, хотя бы примерный код, как это осуществить! Не могу найти в книгах!

[Sla]

я рассказал принцип, в книгах такого, увы...

http://www.webtoolkit.info/javascript-md5.html

[Serg79]

самый безопасный способ - отправлять введенный пароль через ajax

Ну что это. Вполне можно хранить пароль и в самом javaScript (HTML). Только хранить его не в открытом виде, а в виде его хеш-суммы. Для больше надежности можно использовать md5, для параноиков подойдет sha-512...

[poyt]

Ну что это. Вполне можно хранить пароль и в самом javaScript (HTML). Только хранить его не в открытом виде, а в виде его хеш-суммы. Для больше надежности можно использовать md5, для параноиков подойдет sha-512...

Такой вариант может подойти для простого сайта, для крупного проекта такое лучше не использовать, а "зашивать" в куки, и лучше, чтобы кроме md5(пароля) был что-то вроде md5(пароль + соль), где соль - случайно сгенерированная строка.

[Dimka]

poyt, не вижу разницы между cookies и кодом JavaScript - и то, и то хранится на клиентской машине в открытом виде.

[zubr]

Dimka, можно хранить пароль в куках в зашифрованном виде. Серверный скрипт, получив зашифрованный пароль из куки, расшифровав его и сравнив с паролем, который ввел пользователь, определяет правильность пароля. Это все имеет смысл, если пароли не хранятся на сервере.

[Dimka]

zubr, не понимаю, кто мешает злоумышленнику послать соответствующие cookies. Это то же самое, что хранить зашифрованный пароль прямо в JavaScript (и тоже обрабатывать на сервере, если так хочется).

[zubr]

zubr, не понимаю, кто мешает злоумышленнику послать соответствующие cookies. Это то же самое, что хранить зашифрованный пароль прямо в JavaScript (и тоже обрабатывать на сервере, если так хочется).

Алгоритм можно реализовать следующим образом. К примеру у нас сайт без поддержки БД, а пользователь должен получить доступ к какому то контенту, индентифицируя себя. При регистрации, пользователь вводит пароль, серверный скрипт, получив пароль, шифрует его и сохраняет его у пользователя в зашифрованном виде в куках. При каждом последующем посещении сайта, пользователь должен в поле ввода формы ввести пароль (незашифрованный) - в результате серверный скрипт получает зашифрованный и незашифрованный пароль, расшифровывает зашифрованный пароль, полученный из куки и сравнивает пароли, они должны совпасть, в случае совпадения паролей, скрипт выдает нужный контент.
Что даст злоумышленнику наличие в куках зашифрованного пароля? Ведь, чтобы серверный скрипт выдал ему нужный контент,  ему еще надо на сервер в виде параметра формы послать незашифрованный пароль, которого он не знает, а также не знает алгоритм шифрования, применяемый на сервере.

[RXL]

Еще такое возможно:
1. После авторизации сервер генерит некоторый случайный идентификатор (типа одноразового пароля), шифрует чем-то своим и отдает клиенту в куки, а также дает ему идентификатор сессии, по которому клиент авторизуется в течении сессии.
2. Сессия закончилась. Пользователь при очередном запросе отдает куки, сервер расшифровывает его, сверяет пароль и либо отвергает его и требует пароля, либо принимает и переходим к п.1.