loginovruа если в компе трой который перехватывает отсылку из форм + куки ? если отрпавит пароль так как есть и хеш, это вещи разные ) и зайти будет проще... так как пароль есть, а вот если хеш так просто не зайдешь через форму, а насчет если канал сифонится, сниффером, то и есть + пароль то он так и не увидит, в вот сессию можно вытащить сможет же авторизированную.... ну и вообще в логах везде, фигня дела пароль в открытом виде хранить... например в wordpress пароль уже давно как хеш предается...
Браво... Дождались.

Так... У меня есть крутой, пароль для сейфу. Что бы сейф было сложнее взломать, я посчитал хеш своего пароля и поставил его как пароль на сейф. А теперь скажи пожалуйста, если кто-то подсмотрит как я ввожу "новый" пароль, будет ли ему сложнее открыть сейф, чем если бы пароль не был зашифрован.
Ответ обоснуйте )))

loginovruкак видим, пароль действительно передается в открытом виде, ну блин ламьем из разрабов phpmyadmin :))

ПРосто во всём мире ты один шаришь как сделать соединение безопасный... Понимаешь какая хрень, фрейворк Yii тоже имеет стандартную форму авторизации (создаёт её по умолчанию при создании проекта), так вот, она тоже хэш пароля считает только на стороне сервера.

Я тебе аналогию с сейфом привёл, но ты думать видимо не захотел, что бы понять.

Если по простому, то мне как хакеру нафинг не нужен твой пароль в чистом виде. Для взлома аккаунта (входа в аккаунт) мне достаточно просто повторить твой запрос к серверу... И не важно в каком виде отправляется логин и пароль (зашифрованном или открытом... или вообще контрольная сумма обоих).
Ни одна разумная CMS этим не страдает, фреймворки данный функционал не поставляют, соц.сети и другие огромные ресурсы отправляют пароли в чистом виде (google, yandex, vk, fb). Для тебя это не является показателем того, что ты что-то не то придумал? Если бы отправка чистого пароля была бы настолько небезопасной, то об этом весь инэт гудел бы (так как уже не первый год гудит о том, что в базе должны быть хэши паролей и желательно с солью!)

И тебе уже много раз тут сказали, что для защиты соединения надо пользовать ssl, который исключает возможность вклинивания между клиентом и сервером, а также позволяет клиенту быть уверенным, что он вводит пароль именно на твоём ресурсе (а не на клоне, адрес которого чем-то был прописан у тебя в файле хостов).