Mot de passes non chiffrés about noethys HOT 6 OPEN

Bonjour,

Tu veux parler des codes d'accès au portail famille ?

from noethys.

Non, dans la table utilisateur pour se connecter au logiciel. Lorsque je fais un mysqldump j'ai:

LOCK TABLES utilisateurs WRITE;
/*!40000 ALTER TABLE utilisateurs DISABLE KEYS /;
INSERT INTO utilisateurs VALUES (1,'F','Test','user','2222','administrateur',1,NULL,;5
/!40000 ALTER TABLE utilisateurs ENABLE KEYS */;
UNLOCK TABLES;

2222 est le mot de passe de l'utilisateur pour se connecter au logiciel.

from noethys.

Je peux le passer au base64. Ca irait ?

from noethys.

Je ne pense pas que Base64 soit suffisant pour sécuriser de manière efficace les mots de passe stockés en base données étant donné que le coder le mot de passe en Base64 et réversible.
Une première étape dans la sécurisation serait de stocker les hashages des mot de passe. Par exemple, MD5, SHA256 ou bcrypt (classé du plus basique ou plus efficace). L'utilisation d'un salt serait un plus ( et encore mieux un salt aléatoire).
Un salt est une chaine de caractère qui auquel est ajoutée le mot de passe de l'utilisateur. Cette chaîne est alors hashé et c'est ce hash qui est sotcké en base.
L'avantage du hashage, c'est qu'il n'est pas réversible. mdp -> hash. Et le hash on ne peut déduire le mot de passe.

Si tu veux plus d'informations, n'hésites pas.

Il existe des ressources sur internet comme par exemple :
https://crackstation.net/hashing-security.htm

Bon courage
Seun

from noethys.

C'est codé : version 1.1.8.6.

Ivan

from noethys.

Hello,

D'après moi le problème n'est pas réglé, en effet lors de l'implémentation du chiffrement du mot de passe tu n'as pas ajouté de sel cryptographique (chaine de caractères aléatoires), le mieux et le plus simple est d'utiliser l'algorithme bcrypt, voire Argon2

Voici un peu de documentation sur la manière dont doivent être stockés les mots de passe (enfin leur empreinte) dans une base de données :

• https://blog.imirhil.fr/2015/10/27/stockage-mot-passe.html
• http://linuxfr.org/users/elyotna/journaux/l-art-de-stocker-des-mots-de-passe
• https://paragonie.com/blog/2016/02/how-safely-store-password-in-2016

Une fois que tu auras corrigé le problème, il est très important de communiquer aux utilisateurs de changer leurs mots de passe (sinon ils seront toujours stockés en clair dans leur base de données)

P.S : on ne dit pas cryptage mais chiffrement ;)

from noethys.