Pošiljanje gesla v 2. korak preko ajax-a

2 naročnika

Imam registracijsko formo, ki jo pošiljam in preverjam preko ajax klica.

Podatke forme pošljem s pomočjo jquery
<form id="registration">
<img id="submit"...
...

$('#submit').click(function() {
var password=$('#password').val();
var email=$('#email').val();
$.ajax({
type: "POST",
url: "/registration_ajax.php"
...

Torej geslo dobim na način var password=$('#password').val(); in ga pošljem brez šifriranja, preko ajax post, v preverjanje in drugi korak registracije. Geslo prej ne šifriram, ker potem v php fajlu ne bi mogel preveriti pravilne oblike. Če geslo ustreza pravilni obliki, ga v drugem koraku šifriram in shranim v bazo ter zaključim registracijo.

Vprašanje:
Je to velik security risk? Sprva sem pomisli da bi znal biti, potem pa sem videl da tudi Facebook ne šifrira geslo ko ga pošilja v drugi korak registracije preko ajax klica. Torej le ni tako velik problem, glavno le da končno v bazo shranim v šifrirani obliki?

Takole je pri Facebook (glej vrstico regpasswd_ mojegeslo43) :

POST http://www.facebook.com/ajax/register.php?__a=1
abtest_registration_group   1
birthday_day    5
birthday_month  7
birthday_year   1990
captcha_persist_data    AAAAAwAgACAAAAD0NTiWKJjuMR27Gsk3xyDVfFwSWRpg3DJk9suj7K3Vuw6NMpzI9phE6uZKg2HBZemYUwXDJ36UEdOIoSUmnD4UoeVUZv_Kd_GUR0InzJ6WM4X4u0jE99TuNmuDxgb8azJu9maXM1S_Gz0iatfxqSrOx__F4n-zBspimNk8LvBzzKH3cOpvnnknvJg6uAUJM11Sq6NZc3i5jIANy8q9VeiBQ2dOwGvBOdpSrVX_rmAhc2gxVqE4xjkF29QtSlhDkCGlTjrzkqdA790r30mm90g8KQTvlIuC20fNcuKnVeaohH4o1a8W1kM00TELw-l0L0EmUVyJ4Xs298U1O0KW_qYQ1mNhh764vANNg3lS81J-TTUltLn8hutg2Xi4lzVa_1BsMJA9dbwAKYF-0b0cjE9O5vQWDdCWm_xG4ViIj8GcAUQ.
captcha_response    
captcha_session EsQ44AGATklM5GbJtbNmBQ
charset_test    €,´,€,´,水,Д,Є
extra_challenge_params  authp=nonce.tt.time.new_audio_default&psig=h2lpc2KDwYqpDchJ26-5HawDvfQ&nonce=EsQ44AGATklM5GbJtbNmBQ&tt=56jZfwZtxSGTT6JheEBEcgw0hgs&time=1278101456&new_audio_default=1
fb_dtsg 4hbEx
firstname   nick
ignore  captcha
lastname    white
locale  sl_SI
md5pass 
recaptcha_type  password
referrer    116
reg_email__ ffnick@mojmail.com
reg_instance    1278101456-5ba9c54bf1b78d77f86a2b2616086961284e24054e60493c3d627
**reg_passwd__  mojegeslo43**
sex 2
terms   on

Ne ni. Šifrirano geslo gor ali dol, saj tudi pri brezajaxnem klicu PHPja, postaš nekriptirano geslo, ki se potem kriptira. (razen če uporabljaš SSL, v tem primeru je vsa interakcija klienta in hosta kriptirana) Tu pa pač samo prek ajaxa postaš in je ista stvar, le da uporabiš še javascript...