QQ的密码是明文的吗？

　　刚才看了《分析腾讯网页登陆的加密机制》这篇文章，里面写了webQQ登陆过程，这个过程我没有去验证，但是我却突然想到另一个问题，那QQ的密码是明文的?

　　现在我简单总结一下这个登陆过程：

　　1. 输入：QQ号，用户的明文密码，验证码

　　2. 将输入进行哈希(MD5)

　　3. 将QQ号、验证码、哈希值传输，因为验证码每次不一样，所以计算出来的哈希，每次都是不一样的

　　4. 服务器端验证，成功或者失败

　　前面3步都很正常，也很安全，就算在第3步，把QQ号、验证码、哈希值得到，还是无法解出用户的密码。

　　既然我们普通人员无法解出密码，那么服务器也是从用户请求的值解出密码的。

　　那么，问题来了，服务器是怎么验证用户的有效性的呢?

　　1. 验证哈希值——假设服务器存储的是密码哈希的值，那么很简单，验证哈希值与服务器上存储的哈希值是否一致即可——可是，这个哈希值是每次登陆，都会变化的，也就是服务器不能存一个静态的哈希值，所以，不会是验证哈希值。

　　这个方法行不通

　　2. 通过在服务器端运行同样的哈希过程，然后比较哈希值——这个过程是可行的，因为大家使用同样的输入和计算过程，那么最终得到结果肯定是一样的。

　　但是，这有一个前提： 那就是服务器端具有与用户同样的输入值：

　　用户的输入值有：QQ号、密码、验证码

　　所以，服务器端需要拿到用户的明文密码才可能重现哈希过程。

　　3. 其他办法验证?我暂时想不出来，还有其他办法验证用户身份——欢迎提供其他验证思路

　　所以，我的结论是：

　　验证服务器是可以取到用户的明文密码的——也就是说存储的要么是明文密码（虽然这种可能性不大），要么存储的是可逆加密的密码。

　　至于腾讯公司，在内部采用了什么办法来保证密码不会被泄露，就不得而知了。

　　（来源：博客园　作者：小彬）

时间：(2024-02-08 07:58:15)
本站资源均来自互联网或会员发布，如果不小心侵犯了您的权益请与我们联系。我们将立即删除！谢谢！