问题标签 [srp-protocol]

当用户需要注册时，需要在服务器端应用一套密码策略，而不仅仅是在客户端；但是，我们无法访问服务器中的密码。使用 SRP 时，是否有任何可能的方法在后端应用密码策略？

例子：

• 至少包含 7 个符号
• 需要数字和字母的组合

我们正在尝试支持使用 TLS1.2 支持 PSK 和 SRP 身份验证机制的服务器。但是，当我们尝试在同一上下文中为两者运行回调时，只会检测到 PSK 回调：

SSL_CTX_set_psk_server_callback(m_ctx, psk_out_of_bound_serv_cb);

SSL_CTX_set_srp_username_callback(m_ctx, srp_server_param_cb);

如果您只设置一个回调或另一个，SRP 和 PSK 目前在我们的代码中工作。我尝试先注册 SRP，但这样做并没有改变唯一的 PSK 正在工作的事实。因此，另一种方法是在 SSL 上下文中单独设置这些。我还确认 SRP 和 PSK 密码套件在设置时组合起来不是问题。

以下是我们拥有的测试场景的快速摘要：

1. 仅具有 SRP 回调的 SRP 客户端 - 有效
2. 仅具有 PSK 回调的 PSK 客户端 - 有效
3. 带有 SRP+PSK 回调的 SRP 客户端 - 不起作用
4. 具有 SRP+PSK 回调的 PSK 客户端 - 有效

不同机制的多个回调会在同一个 SSL 上下文上同时工作吗？

我们正在使用 Amplify 和 AWS Cognito，使用 SRP。根据我们对 SRP 的理解，密码不应通过网络以纯文本形式发送。

当用户需要在登录时更改密码时，我们使用 Auth.completeNewPassword 方法。查看请求，密码清楚地以纯文本形式发送。为什么是这样？

TrinityCore 弃用了 auth 表上的旧 sha_pass_hash 列，转而采用更安全的 SRP6 方法。但是，我无法使用此处提供的示例正确计算 PHP 中 C#/dotnet NOR 中的验证程序。我查看了示例，但它似乎不像 TrinityCore 开发人员建议的那样工作。有谁知道 SRP6 可能能够找出代码中的问题？我也看过这个例子，但它使用了硬编码的盐？如果有人可以告诉我 PHP 有什么问题，我也许可以弄清楚 .NET 有什么问题

我尝试的代码看起来最接近第一个示例，但我将数组翻转为小端。