Door Anoniem @11:22: Oplossingen voor dat soort problemen moet je zoeken in de richting van protocollen die een login niet doen door de usernaam en het password in een formulier naar de site te sturen, maar die een challenge/response protocol gebruiken tussen de browser en de site, waarbij de gebruiker lokaal een usernaam/password invult of uit een opslag haalt, maar deze niet op zodanige wijze over de verbinding gaan dat de site (of hackers daarvan) daar iets mee kunnen. De challenge moet uiteraard het domein bevatten en de lokale agent moet dat controleren. En het moet zo in elkaar zitten dat je geen man-in-the-middle kunt spelen tussen de bezoeker en de echte site. Dit is erg lastig veilig te krijgen. Het grootste probleem is sowieso niet dat een aanvaller jouw wachtwoord in handen krijgt, maar dat zij of hij éénmalig als jou kan inloggen. In Windows wordt gebruikt wat jij voorstelt, met als gevolg PtH (Pass the Hash) aanvallen. Door Anoniem: Dat is vast allemaal al bedacht en geimplementeerd. Nu nog ...