Fragwürdige Literatur (web & mobile Developer, Ausgabe 11/2013)

[molily]

Hallo,

Idealerweise wird das Passwort schon am Client per JavaScript gehasht

Idealerweise werden alle Daten SSL-verschlüsselt übertragen. Das Hashen auf dem Client ist eher ein Sicherheitsverlust, weil man von einer clientseitigen Implementierung abhängig ist, die auf tausenden unterschiedlichen Geräten läuft und viel einfacher angreifbar ist. In JavaScript habe ich nicht browserübergreifend Zugriff auf einen brauchbaren Seed für einen kryptographisch sicheren Zufallszahlengenerator. Math.random() ist kein guter Seed.

Wenn ich Krypto zuverlässig auf dem Server machen kann, dann sollte ich das tun.

Grüße,
Mathias