stenfordну ок, но в куках не лежат-же хэши, зачем тогда такие вещи как соленые хэши, да и вообще хэши? Толку от них если пароль сохранен в куках
Мягкое с теплым не путай. Если пароль можно украсть на клиенте, то это не значит что на сервере его не надо защищать от кражи.

Не у каждого клиента можно украсть. Трояны живут далеко на всех компах.

stenfordА если база данных украдена, так и пароли уже особо не нужны..
Смотря что за база. Далеко не всегда нужны данные из базы, иногда надо просто войти от имени другого пользователя и что-нибудь поделать от его лица.

Тут главное не перестараться. Все хорошо в меру. Сервисы с параноидальной безопасностью отбивают желание ими пользоваться именно по причине слишком большого количества действий для соблюдения безопасности.

Например был у меня счет в одном банке, удачно сделанный ИБ, куча функционала, но параноидальная безопасность (смена пароля раз в три месяца, пароль не запоминается в браузере и т.п.) напрочь отбила желание работать с этим банком.

maytonDima TНапример был у меня счет в одном банке, удачно сделанный ИБ, куча функционала, но параноидальная безопасность (смена пароля раз в три месяца, пароль не запоминается в браузере и т.п.) напрочь отбила желание работать с этим банком.
SMS-ка с сеансовым паролем решают проблему. По крайней мере на сегодняшний день.
Вроде-бы случаев кражи СМС-ки не было. Особенно в привязке к хищению денег.
СМС-ка с паролем тоже была.
Кражи СМС-ок есть, и деньги тырят, просто банки это не афишируют. Пользователи ставят банковскую прогу на смартфон, на него же смски с паролями принимают, и до кучи ставят все подряд проги, в некоторых из них трояны оказываются.

stenfordя не думаю что найдется хоть один человек, который отказался-бы от работы с системой если она не дает ему запоминать пароли в браузерах
Я этот человек, уже написал что сменил банк только из-за гимора с излишними требованиями к безопасности 19239336 . В остальном банк был лучше конкурентов.

Закон безопасности прост: "цена взлома должна быть ниже цены полученного". Если то что ты защищаешь не представляет ценности для взломщиков, то и ломать не будут. Даже если всем поставишь пароль "1" и будешь сообщать по телефону.

У меня подобная система, несколько сотен юзеров пользующихся вэб-интерфейсом, тупая отправка POSTом по HTTP логина с паролем (т.е. открытым текстом), и никто не сломал за 10 лет. Не потому что не надо, оно надо любому из юзеров посмотреть от лица другого, но не настолько чтобы заплатить за это очень приличные деньги. На всякий случай прикрутил мониторинг что такое произойдет, за 10 лет не произошло. Зато юзеры довольны, многие просто свой логин/пароль не знают, винду переставят и звонят - я зайти не могу, в браузере было запомнено.

Супер-пупер защищенный вход не панацея. Троян может поработать за юзера после того как он войдет.

Изучал такое в одной знакомой конторе: и-банк известного разработчика (многие банки пользуют), ЭЦП на USB-ключах, втыкаются только на время работы. Бухгалтера следят за Р/С, ежедневные выписки, разноска в свою 1С, сверка, все по взрослому.
В итоге ушло в неизвестном направлении 200+ тыс.р. и вскрылось только через несколько месяцев.
Работал троян очень интересно: пропатчил Java (на которой написан и-банк), сгенерил и подписал платежки когда с ИБ работали (банк дал эти платежки, я лично проверял ЭЦП, подпись верна), а затем просто скрывал их: при печати выписок не показывал их и корректировал суммы остатков. Вскрылось только когда платежки не ушли, т.к. реальный остаток был на 200+ т.р. ниже. Просто остаток на счете редко снижался ниже этой суммы, поэтому долго не замечали.