Security 登录期间是否应使用nonce？_Security_Authentication_Login_Hash_Nonce

Security 登录期间是否应使用nonce？

security authentication login hash

Security 登录期间是否应使用nonce？,security,authentication,login,hash,nonce,Security,Authentication,Login,Hash,Nonce,显示以下基于nonce的身份验证示例：客户端从服务器请求nonce 服务器以nonce（即，以下简称“服务器”）响应暂时”）客户端使用服务器nonce、它自己的客户端nonce和用户输入的nonce 生成哈希的密码客户端将用户输入的用户名、客户端nonce和哈希发送到服务器服务器从其数据库中检索服务器nonce和用户密码数据库，大概是通过用户名服务器将服务器nonce、客户端nonce和密码组合到生成一个散列服务器将刚刚生成的哈希与从客户端发送的哈希进行比较如果哈希匹配，则

显示以下基于nonce的身份验证示例：

客户端从服务器请求nonce

服务器以nonce（即，以下简称“服务器”）响应暂时”）

客户端使用服务器nonce、它自己的客户端nonce和用户输入的nonce 生成哈希的密码

客户端将用户输入的用户名、客户端nonce和哈希发送到服务器

服务器从其数据库中检索服务器nonce和用户密码数据库，大概是通过用户名

服务器将服务器nonce、客户端nonce和密码组合到生成一个散列

服务器将刚刚生成的哈希与从客户端发送的哈希进行比较

如果哈希匹配，则对客户端进行身份验证。如果不是，则客户端是拒绝

这是否意味着服务器以纯文本形式存储用户密码？严重违反了安全原则，即建议保存密码的附加哈希而不是实际密码本身？

该协议基本上是一种安全协议。它用于避免发送实际的秘密（例如密码），但响应只能在知道秘密的情况下有效。为了避免重放攻击，合并了nonce

然而，上述协议要求服务器以可检索的形式（例如，明文或加密）存储秘密

但您可以通过要求客户端生成相同的密码散列来更改协议，以允许使用密码散列而不是明文密码：

客户端从服务器请求用户输入的用户名的salt和nonce

服务器可能通过用户名从其数据库中检索salt，并使用salt和nonce（即，以下称为服务器nonce）进行响应

客户端使用salt和用户输入的密码生成密码哈希，并使用密码哈希、服务器nonce和它自己的客户端nonce生成nonce哈希

客户端将用户输入的用户名、客户端nonce和nonce散列发送到服务器

服务器从其数据库中检索服务器nonce和用户密码散列，可能是通过用户名

服务器将服务器nonce、客户端nonce和密码哈希组合起来生成nonce哈希

服务器将刚刚生成的nonce哈希与从客户端发送的nonce哈希进行比较

如果哈希匹配，则对客户端进行身份验证。如果不是，则拒绝客户端

这个协议基本上是一个协议。它用于避免发送实际的秘密（例如密码），但响应只能在知道秘密的情况下有效。为了避免重放攻击，合并了nonce