Sé que esta pregunta se me ha hecho muchas veces, pero ¿funcionaría el cifrado de JavaScript si acabo de agregar 100 números y letras al azar a la contraseña? Eso sería difícil de hacer ingeniería inversa, porque es totalmente aleatorio. Estoy haciendo un tipo de servicio de WordPress y Joomla, y todos los usuarios que lo descargan no tienen SSL.
No, parece que no entiendes cómo funcionan el cifrado y la ofuscación. El cifrado proporciona confidencialidad: un mensaje está oculto con un mecanismo que utiliza un secreto compartido de todas las partes que no poseen ese secreto.
La ofuscación se refiere a una serie de técnicas empleadas para hacer que, en general, una aplicación de lenguaje de programación de scripting sea difícil de entender para un lector humano. Toman como entrada la aplicación en su forma original (legible por humanos), (una clave) y generan una aplicación funcionalmente equivalente, mayor en tamaño de código y mucho más difícil de entender.
Ahora, para responder a su pregunta, no, no funcionará como usted menciona, puede que no haya autenticación ni cifrado, lo que significa que cualquier atacante pasivo (usando un rastreador de paquetes y ubicado en la misma red que uno de sus visitantes potenciales ) simplemente recupera la contraseña / código javascript en texto plano.
Lo que usted describe suena a ofuscación, no a encriptación.
Por favor, no use algoritmos de cifrado o hashing "inventados" (lea este OWASP write-up / Ft. a>).
Si desea utilizar claves controladas por contraseña, consulte esta biblioteca de JavaScript para obtener una derivación de claves .
Hay varias bibliotecas de JavaScript que implementan AES (consulte esta publicación de StackOverflow ) y otros cifrados de cifrado . La administración de claves sería difícil, pero puedes intentarlo.
Otro problema aún no mencionado: usted mencionó que el JavaScript se sirve a través de HTTP simple. Esto significa que un ataque "man in the middle" (MITM) puede modificar la ruta de JavaScript, eliminar el cifrado o incluso hacer cosas más infames. PUEDE hacer el cifrado del lado del cliente (en algunos casos esto tiene sentido) pero NO puede reemplazar el HTTPS, solo complementarlo.
Lea otras preguntas en las etiquetas passwords html encryption javascript