Re: Algoritmo MD5 del lado del cliente

Tienes razon, me habia olvidado de ello. De todas formas, para cubrir ese problema existe el mecanismo 'Challenge-Response', donde la encripcion utiliza, en parte, un valor al azar propuesto por el servidor en cada transaccion (desafio-challenge), con lo cual se genera una respuesta diferente en cada ocasion. O sea, el servidor envia la pagina de login conteniendo un numero al azar. Este numero se combina con el dato a encriptar y luego el conjunto se encripta. Esto requiere que del lado del servidor se tenga la contraseña en claro, para lo cual se necesita transmitir en al menos una ocasion. Sin embargo, esta única vez se puede transmitir mediante algun algoritmo simetrico o de clave publica que, aunque fuera mas lento, solo se usa una vez. Gracias por recordarme de este problema. Este asunto de la criptografia lo tenia tan olvidado! Ademas, me ha servido para escribir tambien lo anterior, para beneficio de quienes siguieran la conversacion. Satyam ----- Original Message ----- From: "no-sign" <no-sign@systat.cl> To: "'Satyam'" <Satyam@satyam.com.ar>; <php-cast@eListas.net>; "'php'" <php-es@lists.php.net> Sent: Sunday, May 09, 2004 6:44 AM Subject: RE: [PHP-ES] Algoritmo MD5 del lado del cliente Respuesta entre líneas. Sl3 José Lecaros Cisterna (56-2)268-36-77 (56-9)091-15-37 no-sign@systat.cl -----Mensaje original----- De: Satyam [mailto:Satyam@satyam.com.ar] Enviado el: sábado, 08 de mayo de 2004 17:53 Para: php-cast@eListas.net; php Asunto: [PHP-ES] Algoritmo MD5 del lado del cliente Es muy bueno lo de guardar el password encriptado mediante MD5 del lado del servidor, pero seria mucho mas lindo hacerlo del lado del cliente, de tal manera que no este expuesto a viajar en claro. --->>> para efectos prácticos es lo mismo, ya que si un tipito(tío, tipo, etc) logra interceptar tu pass "en claro" o tu pass ya pasada por MD5 se supone que sabe como hacerla llegar al receptor de esa pass y por lo tanto no hay ninguna diferencia ni ventaja del segundo método sobre el primero. Alguien conoce algun mecanismo para poder aplicar MD5 del lado del browser y que, por supuesto, fuera compatible con el que genera PHP? --->>> el algoritmo MD5 está definido en una rfc, la 1321 si mal no recuerdo, por lo tanto todas las implementaciones debieran darte lo mismo como resultado. Por otra parte, pienso que una vez que hubiera sido encriptado del lado del cliente, a nadie le importa si, ademas, se puede o no hacer del lado del servidor, tampoco tiene por que ser compatible ni parecido. Podria ser conveniente disponer del mismo encriptado del lado del cliente y del servidor, pero en realidad, no se me ocurre para que. Alguna idea a este respecto? --->>> este párrafo no lo entendí, tal vez debe ser pq tuve un largo día y estoy medio cansado. Lo siento :) --->>> por si no quedó claro lo del enviar o no el pass modificado por MD5 te hago un esquemita. Pc1 = pc del cliente que sabe su uid y pass. Pc2 = pc del tipito malicioso Srv = el servidor que espera el envio de uid y pass Pc1 : envío uid=yosoy pass=mipasssuperultrasecreta ("en claro") Srv : recibo uid y pass Srv : ok, uid y pass aceptados ... cookie, etc, etc. Pc1 : hago lo que quiero. En el caso de que el pc2 se meta sería algo como esto Pc1 : envío uid=yosoy pass=mipasssuperultrasecreta ("en claro") Pc2 : intercepto uid y pass Srv : recibo uid y pass Srv : ok, uid y pass aceptados ... cookie, etc, etc. Pc1 : hago lo que quiero. Pc2 : envío uid=yosoy pass=mipasssuperultrasecreta ("en claro" y al servidor) Srv : recibo uid y pass Srv : ok, uid y pass aceptados ... cookie, etc, etc. Pc2 : hago lo que quiero. Ahora, si la pass va con md5 el servidor estará esperando el string md5 que es enviado por el pc1, pero si el pc2 intercepta la pass va a interceptar lo que el Server espera, así que como ves da exactamente lo mismo. Gracias Satyam -- PHP Spanish Localization Talk Mailing List (http://www.php.net/) To unsubscribe, visit: http://www.php.net/unsub.php