加密最初未加密的https密码 - 优点和缺点

Question

我有一个流行的应用程序，我继承了用户凭据通过线路发送到身份验证的终点。现在我有一个任务是哈希＆＃39;因为你现在的https已经被破坏了，所以任何事都有可能并且安全性更好。

现在，想象一下，如果我md5（密码），那么因为它的一种方式我不能在验证端点解密。这意味着所有当前用户都必须重置密码，以便我可以再次哈希。

在这个问题上处理用户密码在开始时没有加密但现在应该加密的情况的最佳方法是什么？

Answer 1

最好的方法是修复您的TLS设置。如果你不相信你的TLS连接，你就不能真正信任浏览器中运行的任何东西。

由于您仍然将MD5与加密混淆，我会认真建议您不要创建自己的密码散列协议。