Pošiljanje gesla v 2. korak preko ajax-a

Imam registracijsko formo, ki jo pošiljam in preverjam preko ajax klica.

Podatke forme pošljem s pomočjo jquery

<form id="registration">

<img id="submit"...

...

$('#submit').click(function() {

var password=$('#password').val();

var email=$('#email').val();

$.ajax({

type: "POST",

url: "/registration_ajax.php"

...

Torej geslo dobim na način var password=$('#password').val(); in ga pošljem brez šifriranja, preko ajax post, v preverjanje in drugi korak registracije. Geslo prej ne šifriram, ker potem v php fajlu ne bi mogel preveriti pravilne oblike. Če geslo ustreza pravilni obliki, ga v drugem koraku šifriram in shranim v bazo ter zaključim registracijo.

Vprašanje:

Je to velik security risk? Sprva sem pomisli da bi znal biti, potem pa sem videl da tudi Facebook ne šifrira geslo ko ga pošilja v drugi korak registracije preko ajax klica. Torej le ni tako velik problem, glavno le da končno v bazo shranim v šifrirani obliki?

Takole je pri Facebook (glej vrstico regpasswd_ mojegeslo43) :

POST http://www.facebook.com/ajax/register.php?__a=1

abtest_registration_group   1

birthday_day    5

birthday_month  7

birthday_year   1990

captcha_persist_data    AAAAAwAgACAAAAD0NTiWKJjuMR27Gsk3xyDVfFwSWRpg3DJk9suj7K3Vuw6NMpzI9phE6uZKg2HBZemYUwXDJ36UEdOIoSUmnD4UoeVUZv_Kd_GUR0InzJ6WM4X4u0jE99TuNmuDxgb8azJu9maXM1S_Gz0iatfxqSrOx__F4n-zBspimNk8LvBzzKH3cOpvnnknvJg6uAUJM11Sq6NZc3i5jIANy8q9VeiBQ2dOwGvBOdpSrVX_rmAhc2gxVqE4xjkF29QtSlhDkCGlTjrzkqdA790r30mm90g8KQTvlIuC20fNcuKnVeaohH4o1a8W1kM00TELw-l0L0EmUVyJ4Xs298U1O0KW_qYQ1mNhh764vANNg3lS81J-TTUltLn8hutg2Xi4lzVa_1BsMJA9dbwAKYF-0b0cjE9O5vQWDdCWm_xG4ViIj8GcAUQ.

captcha_response    

captcha_session EsQ44AGATklM5GbJtbNmBQ

charset_test    €,´,€,´,水,Д,Є

extra_challenge_params  authp=nonce.tt.time.new_audio_default&psig=h2lpc2KDwYqpDchJ26-5HawDvfQ&nonce=EsQ44AGATklM5GbJtbNmBQ&tt=56jZfwZtxSGTT6JheEBEcgw0hgs&time=1278101456&new_audio_default=1

fb_dtsg 4hbEx

firstname   nick

ignore  captcha

lastname    white

locale  sl_SI

md5pass 

recaptcha_type  password

referrer    116

reg_email__ ffnick@mojmail.com

reg_instance    1278101456-5ba9c54bf1b78d77f86a2b2616086961284e24054e60493c3d627

**reg_passwd__  mojegeslo43**

sex 2

terms   on

Ne ni. Šifrirano geslo gor ali dol, saj tudi pri brezajaxnem klicu PHPja, postaš nekriptirano geslo, ki se potem kriptira. (razen če uporabljaš SSL, v tem primeru je vsa interakcija klienta in hosta kriptirana) Tu pa pač samo prek ajaxa postaš in je ista stvar, le da uporabiš še javascript...