Door Anoniem:De opzet zou wél werken met een simpele versleuteling op basis van een exclusive-or-bewerking tussen het bericht en iets dat van het wachtwoord wordt afgeleid. Die versleuteling is echter zo zwak dat hij volstrekt onbruikbaar is. Voor degenen die dit niet weten: versleutelen met XOR is niet persé zwak, integendeel; "one time pad" is erop gebaseerd. Als voor de gesuggereerde authenticatiemethode van XOR gebruik gemaakt wordt, heeft dat niets met een OTP te maken, en is één van de problemen hier een (passieve, sniffende) MitM [#] die zowel het bericht naar de server als het (met de sleutel van de server middels XOR "versleutelde") retourbericht kan uitlezen. Dan kan de MitM daaruit direct de sleutel van de server afleiden, en zich voortaan voordoen als de server. En datzelfde geldt voor de sleutel van de user, zodra deze het bericht van de server heeft ge-XOR-ed met de user-key. [#] Man in the Middle, ook te lezen als Woman itM, of -gender-neutraal- Attacker itM. Toelichting voor de minder ...