Северные наблюдения

Я тут потихоньку ваяю код для полноценного аггрегатора RSS, чтоб базировался на вебе, с мордой от Bootstrap. Мой древний самопал бежит строго на локальной машине, а это бардак и каменный век с точки зрения доступа. Про внешнее оформление в стиле Веб-1.0 вообще молчу.
Уже сейчас имеется подкачка RSS-лент с сайтов по списку и умное хранение обновлений в базе, постраничное отображение статей, отметка прочитанного, редактирование кое-каких деталей имеющихся лент, поддержка клавиатурных шорткатов, плюс адаптивный дизайн под десктоп и смартфон.

Помимо всяких заморочек с базой данных, жабаскриптом и пе-ха-пе, приходится кое-где и велосипеды изобретать.
В частности, задумал я накатать свой алгоритм для шифрования и передачи пароля (как нового, так и при логине).
Сразу предупреждаю: мой проект не будет хранить никаких супер-пупер секретных или интимных личных данных.
Просто мне надо разграничить доступ между пользователями, ну и предотвратить возможный вандализм с угоном аккаунта, порчей или замусориванием данных, вот это всё... Код хотелось бы сделать открытым (но не содержимое базы данных, естественно).

Итак, задача номер один: как секьюрно передать первоначальный пароль в систему, с учётом того, что хакеры могут прослушивать траффик. Идея состоит в том, что я вообще не собираюсь принимать от пользователя какой-то пароль при регистрации. Он оставляет на сайте свой запрос и получает от меня первоначальный пароль мейлом. При этом я не храню сам пароль в системе, а только его чексумму.

Вторая задача состоит в том чтобы передать пароль зарегистрированного пользователя (с учётом того, что на этот раз хакеры точно смогут прослушивать траффик). Решение выглядит так: сначала клиентская часть отправляет в систему запрос "пользователь такой-то хочет передать пароль". Система генерирует временный кусок "соли" и пересылает его клиенту обратно. После этого клиентский жабаскрипт считает чексумму пароля, на неё накладывает кусок "соли", и полученный результат возвращает в систему. Система убеждается, что это та самая сессия, накладывает свою "соль" на свою сохранённую чексумму пароля и сравнивает её с полученным от клиента кодом.

Если хакер перехватит сообщения в обоих направлениях, то всё равно повторить запрос на авторизацию он не сможет - та сессия уже стёрта, значит новая временная соль не даст тот же результат, что и у законного пользователя, ведь у него не будет из чего изготовить первую чексумму. Увы, менять пароль при этом не получится, потому что новый текст придётся передавать по тому же незащищённому каналу.

Фактически, я разрубил гордиев узел несекьюрного канала при помощи вспомогательного канала (мейл).
Насколько мой сценарий опасен с точки зрения реальной жизни? Есть какие идеи?

Был у нас в КуАИ юный практикант, который вёл семинарские занятия по МатАнализу. Так вот он, представляясь нам, сказал: "Вы не подумайте, я молодо выгляжу, но уже не первый год тут работаю. Второй". Вот и я могу смело сказать, что за это лето на море был не один раз. А всё из-за проклятых медуз - портят купальный сезон на пол-сезона. Но вода просто замечательная, да и волн почти нет. На этом сочинение по морской тематике можно считать готовым.

На работе я переехал (со всем отделом) в новое, свежепостроенное здание - сплошной хай-тек и крутотень. Освоил такую важную тему как портирование сорсов Пайтона со второй версии на третью (причем с обратной совместимостью). Запилил оригинальный проект (от замысла до последней строчки кода) по выделению code coverage для сорсов из разных бранчей git-а. Если повезёт, глядишь идея и на патент потянет. Опять-таки протолкнул идею собственного HW discovery flow заместо глючного "полочного" варианта. И порядок с именами атрибутов в базе данных тоже устроил (заработав немного седых волос после падения продакшн-версии посреди релиза).

В области спорта, увы, достижений почти нет: так и подтягиваюсь 20 раз, жму две 30-килограммовые гантельки в рабочих подходах. Зато вернулся к жиму штанги лёжа - два блина по 20 на рабочих подходах. Хотелось бы вернуться к 2 по 25 и "бабочке" с 15-килограммовым отягощением, но всему своё время.