このデータは安全に送信されていますか？

Question

私はちょうどHTTPBodyを介してログイン情報を送信するのがこのように安全であるかどうかを確認したいですか？またはユーザー名とパスワードをエンコードする必要がありますか？

NSString *myRequestString = [[NSString alloc] initWithFormat:@"username=%@&password=%@", _userName.text, _passWord.text]; 
    NSData *myRequestData = [NSData dataWithBytes:[myRequestString UTF8String] length:[myRequestString length]]; 
    NSMutableURLRequest *request = [[NSMutableURLRequest alloc] initWithURL:[NSURL URLWithString: @"http://website.com/ilogin.php"]]; 
    [request setHTTPMethod: @"POST"]; 
    [request setValue:@"application/x-www-form-urlencoded" forHTTPHeaderField:@"content-type"]; 
    [request setHTTPBody: myRequestData]; 
    [NSURLConnection connectionWithRequest:request delegate:self]; 
    NSHTTPURLResponse *response; 
    NSError *err; 
    NSData *returnData = [ NSURLConnection sendSynchronousRequest:request returningResponse:&response error:&err]; 
    NSString *reply = [[NSString alloc] initWithData:returnData encoding:NSASCIIStringEncoding]; 
    NSLog(@"responseData: %@", reply); 
    if (reply == @"Login Successful") { 
     _loginResponse = [NSString stringWithString:@"Successfully Logged In"]; 
    } else if (reply == @"Incorrect Password") { 
     _loginResponse = [NSString stringWithString:@"Incorrect Username or Password"]; 
    } else if (reply == @"LOGIN_ERROR_USERNAME") { 
     _loginResponse = [NSString stringWithString:@"Incorrect Username or Password"]; 
    } else { 
     _loginResponse = [NSString stringWithString:reply]; 
    } 

Answer 1

安全ではありません。本当に安全な唯一の方法はHTTPSを使用することですが、iOSが未確認のHTTPSサービスに接続しないため、証明書の支払いが必要です。

ユーザー名とパスワードに片方向ハッシュを使用すると、セキュリティを強化できます。基本的には、ユーザー名、パスワード、いわゆる「塩」値を追加します。これは、一度生成してアプリにハードコードするランダムなシーケンスでなければなりません。

文字列を取得したら、MD5またはSHA1などのハッシュを文字列に適用して、認証として送信するナンセンスシーケンスを取得します。

サーバー側では、ユーザーをループし、同じsalt値を使用して同じユーザー名とパスワードを同じアルゴリズムで適用し、結果が送信されたものと一致するかどうかを確認します。誰もがそれを知ることはできません。

さらに安全性を高めるには、ユーザーが初めてデータベースにパスワードの代わりにハッシュ値を登録して保存するときにそのハッシュを適用します。そうすれば、Webサイトが侵害された場合、ユーザーはパスワードを変更する必要があります（いくつかのハイプロファイルサイトのように最近しなければなりません）。

それはとにかく、ルックアップのために、データベース内のハッシュを保存するためにも、より効率的なので、あなたはすべてのレコードをループしており、それぞれに誰かがログインするたびに、そのハッシュを適用されません。