>> Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым
>> текстом передавать.
> Ну передашь ты его шифрованным, только окажется что это был не тот
> сервер. Но никто и не пикнет.

Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать, допустим без шифрование соединения. Перехватчики перехватили мой хеш пароля и передают его банку, и банк его принимает, так ?
И что до сих пор не придумано никаких механизмов защиты от таких "кулхацкеров" ?
Насколько я знаю, даже самая простая авторизация с применением шифрованного пароля имеет небольшую защиту:
хеш пароля это не только md5 (для примера) от "пароля", а md5 от {uniqid}:{password}:{что-то еще}
где uniqid - уникальный id для каждой сессии, ну станет удаленная сторона для меня проксей, но сама то рулить сессией tcp не сможет. А хеш пароля им ничего не даст, вообще.

> Ну ок, выпишет некто их 100500CA сертификат прову

Кто выпишет ?, давайте по конкретней !