scryptユーザーのパスワードの強力なハッシュを生成するために使用しています。ユーザーをログインさせたいが、パスワードをプレーンテキストでネットワーク経由で送信したくない場合、パスワードがソルト化されているため、(往復なしで) 正しいかどうかを確認するにはどうすればよいですか?
クライアント/サーバーのシナリオがあります。クライアントはデスクトップ コンピューター上のアプリケーションです (Web サイトや http サーバーではありません)。
どうすればこれを達成できますか？ここまで来ただけです。クライアントでソルト + ハッシュを生成し、それから mcf を作成してサーバーに送信します。mcf をデータベースに保存します。私はパスワードを送信していません。実際には役に立たないハッシュだけです (scrypt は非常に強力であり、元に戻すには数百万年かかるため)。プレーンテキストのパスワードをサーバーに送信して比較することなく、ユーザーをサービスにログインさせるにはどうすればよいですか? 別のソルトのために別のハッシュになるため、再ハッシュできませんか? ソルトをクライアントに送信し、パスワードをハッシュし、ハッシュをサーバーに送信し、それを比較して、認証トークンを送り返す必要があります。
どうすればこれを達成できますか？認証トークンは実際に安全ですか? 誰かになりすますために簡単に使用できますね。