Reprise du message précédent :
On va parler autre chose que mots de passe.
Aujourd'hui un client qui vient parce que sa souris marche plus.
Je regarde dessous : une grosse mouche écrasée et encastrée dans le petit creux du capteur.

Tu as facturé l'intervention à la demi-heure, j'espère.

À l’heure.

 
Ce genre de truc nobrain, ça serait bien effectivement d'expliquer en amont les commandes car on m'avait fait un truc du genre pour un programme sur l'antique PC3270 (mais qui se montrait plus robuste que bien des machins modernes). Fallait que j'appuie sur F9 pour lancer la requête, et c'était mentionné nulle part, j'avais perdu 1h avec ces conneries

Ma boite qui limite les mots de passe à 9 caractères ?

 
  C'est quoi la contrainte technique qui a imposé cette connerie ?

- Il faut que ce soit facile à retenir. Sinon, les mecs gueulent à cause de tes conneries de sécurité-ché-pa-koi. On n’est pas en guerre, merde !

Oui mais dans ce cas tu mets une limite mini basse (c'est con mais pourquoi pas ...). Mais là tu empêche les gens qui veulent retenir un mdp de le faire ...?! J'ai jamais vu ça, sérieusement. Surtout pour un requirement aussi pourri (encore, les vieux systèmes qui acceptent que 8 alphanum pas case sensitive, pourquoi pas ...)

Aaah, les mdp de 8 caractères minimum mais moins de 10, avec majuscule, chiffre et caractère spécial  
 
J'ai aussi pratiqué l'incrémentation pendant un couple d'années grâce à ces stratégies de mdp magnifiques

La meilleure gestion des mdp que j'ai vu, c'est à la fac de Rennes.
8 caractères exactement (pas un de plus, pas un de moins)  

Et sur leur intranet, tu peux mettre n'importe quoi dans la case mot de passe, du moment que les 8 premiers caractères sont bons, ça passe  

Ou encore l'ancienne appli du CROUS qui ne prenait pas en compte les caractères spéciaux dans les mdp  

Le plus joli ce sont les systèmes qui t'interdisent de mettre des apostrophes et/ou guillemets dans le mot de passe, du coup tu sais que c'est probablement :
- stocké tel quel en clair en BD
- codé avec les pieds : pas d'échappement de ces caractères ou - ce qui serait plus sûr et propre - pas d'utilisation de paramètres dans les requêtes plutôt que de taper les valeurs en dur dedans.
Ça inspire tout de suite confiance dans la sécurité du système

C'est possible en chiffrant les mdp ça ?

 
Les premières versions de Mac OS X faisaient la même chose (oui, y a 15 ans)

Apple, toujours en avance.

 
En même temps, pourquoi s'emmerder avec des mots de passe, vu que personne "n'a rien à cacher, rien à se reprocher, osef que Google / Facebook / Apple / Crosoft utilisent nos données personnelles", etc.

Bah faut les stocker en clair du coup

Oui, quand tu demande au luser de changer de mot de passe faut qu'il saisisse le mot de passe actuel, donc tu dispose à ce moment d'une version en clair pour les comparaisons  
 
Par contre du coup suffit d'un deuxième changement dans la foulée pour gruger genre:
1>tatatata
2>atatatat
3>tatatate  

 
Chiffrer les mdp en clair.
Ils n'y verront que du feu !

 
Pour comparer le mot de passe entier, c'est effectivement possible.
Dans ton AD t'as les x derniers hashs de passwords. Il suffit de hasher le mot de passe et de le comparer aux x derniers.
 
Par contre, pour vérifier que la lettre à la position n a pas changé, c'est pas suffisant d'avoir le mot de passe actuel en clair ... les char sont pas chiffrés un à un de façon séquentielle ...
J'ai jamais étudié le truc donc je sais pas comment c'est fait, mais si l'user est logué, son mot de passe en clair peut être récupéré dans la RAM (LSASS par exemple) et il doit être possible de comparer le mot de passe tapé (en clair) avec le mot de passe actuel (donc le futur ancien ...) récupéré par l'OS dans la RAM.
 
Après, my two cents. Je sais pas comment c'est fait en vrai, mais c'est comme ça que je l'aurais fait.

- Allons, allons. Il faut sécuriser tout ça. On va hasher ça en MD5.

 
Et c'est comme ça que tu retrouves des post-it un peu partout sur les écrans :x

Maintenant je bosse dans une boite ou on utilise gmail pour le mail pro.

Heureusement on n'est pas en concurrence avec une boite US

Mais les gens ont pour habitude de rester connecter 24/24 et de te filer leur MDP plutôt que de t'envoyer une copie d'un document par mail. Gmail est configuré par défaut pour garder ta session ouverte.
La dernière fois un collègue à lu tout mes mails plutôt que de se connecter à sa boite mail. Heureusement qu'il n'y a rien de sensible sur mon mail.

Mais ça craint un peu du boudin.

Oui enfin ça disait justement que du coup tu ne pouvais pas comparer avec ceux d'avant l'actuel.
Donc un système qui te dit que tu ne peux pas avoir le même caractère à la même position dans un de tes 10 derniers mots de passe, c'est qu'il garde la liste stockée quelque part de manière déchiffrable.

C'est quoi la différence entre un « disque dur à ramener chez soi » et un « hdd 2.5" de grande surface » ?
Quand je m'occupais des backups au boulot je faisais ça aussi : roulement entre trois hdd 2.5", toujours un chez moi, un au boulot et un dans mon sac à dos. Et synchro une ou deux fois par semaine entre le serveur et le hdd "au boulot" connecté en USB posé sur le boîtier du serveur, que je récupérais le lendemain pour faire le roulement.
Bon y avait pas le balai à côté
Ça marchait bien, pour une petite boîte ça peut être suffisant.

Vos histoires me font penser à ma boite  

On a des appli web dont on avait les mots de passe visibles dans notre logiciel de GRC. D'ailleurs j'ai eu tout le loisir de constater l'inventivité des users  

Un responsable s'est dit que ce n'était pas top, et a changé les mots de passe, de tous les users, bien entendu sans les prévenir.
On ne voit pas plus les mots de passe dans notre logiciel de GRC, ça serait sale  

On a pas mal d'users qui ont du mal, et pas d'adresse mail pour récupérer leur mot de passe en cas d'oubli. Du coup notre génie nous a mis un petit bouton sur le logiciel de GRC pour nous permettre d'enregistrer un autre mot de passe sur les comptes. Comme ça on le donne par téléphone à l'user et c'est réglé.
Le responsable nous demande ensuite de lui envoyer par mail, comme ça il se les note dans un fichier Excel en cas de problème  

le DD si tu le laisse poser sur le serveur, outre le risque de chute en manipulant , ben c'est pas safe en cas de vol/incendie/inondation /foudre
vu que les DEUX backup seront detruit en meme temps que serveur de prod

T'as plus qu'à embarquer une copie chez toi, le jour ou ça pète tu leur la revendra une fortune  

Vous travaillez dans de petite structure non ?

Moi c'est sauvegarde sur SAN en raid 50 + export sur cassettes. Cassettes dans un coffre fort dans un autre étage du bâtiment.

 
Le backup sur site c'est mieux, mais pas top quand même

J'ai vu chez un client une "sauvegarde" sur la même partition du même disque de la même machine. Il m'a fallu de la patience pour faire comprendre l'ineptie de la chose, à grands renforts de métaphores.

 
Même pour une petite boite c'est bien laid comme process de backup
 

 
Et si le bâtiment s’écroule ?

 
OK ça passe alors  

Les backups manuels à coup de disque dur à rapporter à la maison... C'est le top
Si le gars qui ramène le disque le soir se fait voler son sac, c'est malin... Surtout que j'imagine que les données ne sont pas cryptées
 
Alors qu'on peut facilement imaginer, pour une petite entreprise, une solution à base d'un NAS et d'une appli qui va bien...

C'est la merde... Au début je voulais faire exporter les cassettes vers l’extérieur par un presta  mais mon manager a pas donné suite... (1000€/an de mémoire)

Mais bon c'est un peu extrême... A part un incendie/crash d'avion je vois pas trop ce qu'il pourrait arriver.

Si le coffre fort est broyé dans l'effondrement c'est que c'était pas un coffre fort