将sha1密码传递给PasswordSignInAsync

Question

我的公司聘请了一位网络安全专家。他查看了我们的登录页面，并说密码最好是散列并发送到服务器。我告诉他我们要买SSL，但他坚持认为即使使用SSL，最好不要向服务器发送干净的文本作为密码。他还说，他可以在10分钟内破解SSL，但有了哈希密码，黑客又多了一步，可以破解我们的网站。

因此，我将在我的程序中使用ASP.NET Identity 2，并将使用sha1在用户浏览器中散列密码。但是我不知道如何将这个散列密码传递给PasswordSignInAsync方法。

有人能帮我吗？

Answer 1

在将密码发送到服务器之前，对登录页面上的密码进行哈希处理是没有意义的。

攻击者可以“破解SSL”并拦截您的流量，现在可以拦截散列密码，并简单地使用该散列密码重播登录尝试，而不是使用明文变体。哈希在这里没有提供任何额外的安全性。