Как захешировать пароль?

https://github.com/trieck/snapshot/blob/6c435b5a20c908379ddf75db58f0b8c0a6b65...

2: https://gist.github.com/jhasse/990731

Не?

Глянь это, на работоспособность не проверял. http://www.ccodechamp.com/c-program-of-md5-encryption-algorithm-c-codechamp/

Зачем пример? Глянь в либе прототип.

https://github.com/trieck/snapshot/blob/6c435b5a20c908379ddf75db58f0b8c0a6b65...

https://gist.github.com/jhasse/990731

Спасибо

Надо захешировать пароль std::string.

Как нужно понимать эту фразу?

MD5 устарел, он уязвим. Его для checksum использовать надо, а не для паролей.

Для паролей используй PBKDF2. https://en.wikipedia.org/wiki/List_of_PBKDF2_implementations

Зачем убирать зависимость от OpenSSL? Он везде есть. На крайний случай, линкуйся с ним статически.

Сам криптографию не переизобретай ни в коем случае.

Как нужно понимать эту фразу?

Я имею в виду, что пользователь отправляет на сервер не пароль, а только его хеш.

MD5 устарел, он уязвим. Его для checksum использовать надо, а не для паролей.

Для паролей используй PBKDF2. https://en.wikipedia.org/wiki/List_of_PBKDF2_implementations

Спасибо, буду знать. А что из этого оптимально выбрать, чтобы не заморачиваться и не устанавливать большие библиотеки?

Ну, OpenSSL

Я имею в виду, что пользователь отправляет на сервер не пароль, а только его хеш.

Как это следует из «Надо захешировать пароль std::string»?

На крайний случай, линкуйся с ним статически.

Если базовая система обновляется, то безопаснее так не делать

Пользователь как раз должен отправлять пароль, а вот на сервере должен хранися его хэш.

А хэш захешировать еще раз не хочешь?

Пользователь как раз должен отправлять пароль, а вот на сервере должен хранися его хэш.

Почему? Я сразу на клиенте хэширую.

Давай вспомним, зачем на сервере хранятся не пароли, а хэши? - Для того, чтобы злоумышленник, захвативший базу с хэшами, не смог получить пароли.
А теперь представим ситуацию, злоумышленник получил базу с хэшами(каким образом - это другой вопрос) и также он знает, что клиент отправляет на сервер не пароль, а хэш. Далее он модифицирует код клиента чтобы он отправлял заданный хэш(взятый из базы с хэшами), без необходимости ввода пароля. Все, доступ получен.
А вот если бы сервер ждал от клиента именно пароль и сам выполнял хэширование, то тогда описанный фокус не пройдет.

Интересно. Я понимал, что в таком случае доступ получен. Но почему-то думал что важнее минимизировать возможность узнать именно пароль, и лучше его даже не отправлять. Значит на сервер клиент обычно отправляет полный пароль? А как насчёт хеширования на клиенте, а потом ещё и на сервере?

По поводу дополнительного хэширования не знаю, насколько это надежно. А вот по поводу безопасности передачи пароля могу сказать, что передавать нужно внутри ssl-соединения, на boost::asio это можно делать, но внутри boost::asio использует OpenSSL, поэтому без него ничего не получится.

Для паролей используй PBKDF2

https://habrahabr.ru/post/210760/ - а здесь рекомендуют bcrypt/scrypt. Что лучше выбрать?

монопенисно. И то и другое норм. Товарищ майор за овер2000 лет не сможет подобрать (если только терморектальным криптоанализом). Так что бери, что удобнее.

Если так сделаю, нормально будет?...

Генерируется соль. На клиенте хэшируется с этой солью и какой-то постоянной солью клиента. Дальше хэш отправляется на сервер и он хэшируется с этой же сгенерированной солью и постоянной солью сервера.