ユーザー名とパスワードを認証サーバーに送信する際のベストプラクティスは何ですか？

Question

私は、ajaxを使って認証サーバーにユーザー名とパスワードを送信する際に、どのようなことを覚えておく必要があるのだろうかと思います。私はphoneGapとjQueryを使用してWebアプリケーションを開発しています。これはとても新しいものです。正しい方法を確かめたいと思います。アドバイスは大歓迎です。

Answer 1

これは自分で作成しているアプリですか、既存のウェブベースのサービスと話していますか？

HTTPSを使用する必要があります。利用可能であると仮定します。自分でウェブサイトを構築する場合は、多くの一般的なウェブサイトで使用されているのと同様のトークンベースのシステムを調べることをおすすめします。

基本的な流れは次のようになります：

• あなたは、開発者は、APIキーと、おそらくいくつかの種類のトークンのサイトに登録します。
• アプリでは、ユーザーのパスワードをアプリのトークンと組み合わせて、ハッシングアルゴリズムで実行します。
• アプリは、ハッシュされたパスワードとAPIキーをサーバーに送信します。
• ユーザーの資格情報がチェックアウトされている場合、サーバーは短いトークンである認証トークンで応答します。あなたのアプリは、このトークンをサーバーに要求するたびに含める必要があります。
• 認証トークンがある時点で期限切れになることがあるため、ある時点で認証を再認証する必要があります。

一般に、ユーザーのパスワードはプレーンテキストで保存しないでください。サーバーの認証システムと互換性のある形式でハッシュし、その値を格納します。

Answer 2

チャレンジレスポンスメカニズムを使用する必要があります。

サーバーは、クライアントに再使用不可能な期限切れナンスとユーザーの塩を送信する必要があります。
クライアントはsaltでパスワードをハッシュし、生成されたハッシュをnonceでハッシュし、そのハッシュをサーバーに戻します。

サーバーでは、事前に暗号化されたパスワードハッシュをデータベースに格納する必要があります。
次に、格納されたハッシュをnonceでハッシュし、それをクライアントからのハッシュと比較する必要があります。

攻撃者がアクティブなman-in-the-middleであってデータベースを盗んだとしても、攻撃者は元のパスワードを知ることができません。
しかし、攻撃者がデータベースを盗むと、UIをバイパスして既知のハッシュを使用してログインできます。

Answer 3

私はRaymondの例を使用しました。また、私はクライアント側でハッシュパスワードを持っています。

http://www.raymondcamden.com/index.cfm/2011/11/10/Example-of-serverbased-login-with-PhoneGap