Capisco perché la password debba essere salata e sottoposta a hash prima di essere salvata nel database, ma la mia domanda è se deve essere sottoposto a hash sul lato browser o semplicemente l'invio di password in chiaro su HTTPS è considerato sicuro.
Se è ok, c'è qualche documento che posso usare per dimostrare al mio cliente che il sistema è sicuro? Se non lo è, quali sono le migliori pratiche?
È prassi comune inviare password "in chiaro" su HTTPS. Le password non sono in definitiva in chiaro, poiché la comunicazione client-server è crittografata come da TLS.
Crittografare la password prima di inviarla in HTTPS non porta a termine molto: se l'hacker ha messo le mani sulla password crittografata potrebbe semplicemente usarlo come se fosse la vera password, il server non conoscerebbe la differenza. L'unico vantaggio che fornirebbe è la protezione degli utenti che utilizzano la stessa password per più servizi.
Quando un utente digita una password in un campo HTML <input type=password ...> verrà normalmente inviato al server così com'è, cioè senza hashing o salatura. Questo è il motivo per cui questo non dovrebbe mai essere fatto senza HTTPS.
Ma se il tuo HTTPS è solido, questo dovrebbe essere OK. È ciò che fa la maggior parte delle applicazioni web.
Leggi altre domande sui tag authentication tls