¿Cómo puedo agregar una capa de seguridad para borrar contraseñas de texto y SSL?

Si crees en capas, agrega algunas capas. Por ejemplo, ejecute su SSL dentro de otro SSL, y disponga que las dos capas SSL usen algoritmos distintos (por ejemplo, el SSL externo funciona en el cifrado AES y un intercambio de claves efímero Diffie-Hellman, mientras que el SSL interno utiliza el cifrado RC4 y el intercambio de claves basado en RSA). Esto es indudablemente en capas, y, en lo que respecta a las capas, probablemente sea lo mejor que pueda obtener (notablemente, es relativamente obvio que usted no dañe su seguridad de esa manera).

Dados los problemas que hemos visto recientemente con SSL (tanto los problemas del lado de la AC como los errores de implementación), estoy de acuerdo en que tener otra capa de seguridad que proteja la contraseña es una buena idea. La mejor opción que conozco es el protocolo de contraseña remota segura ( wikipedia , Stanford , crypto.SE ) - idealmente, combinado con un lento función hash como scrypt o PBKDF2 .

Al usar SRP, un atacante basado en la red que ha roto completamente la capa SSL no puede obtener ninguna información sobre la contraseña (ni nada que pueda usarse para, por ejemplo, un ataque de paso de hash), e incluso un compromiso completo del servidor solo filtre el verificador (lo que requeriría un ataque de diccionario para recuperar la contraseña).

Ya que estás creando una API desde cero, puedes implementar una función de hashing donde se coloca un hash SHA256 (o lo que sea) en la matriz de nombre de usuario y contraseña y se envía. De esta manera, solo el hash se envía a través del cable. Esta no es una solución definitiva, pero es solo otra capa.