Reprise du message précédent :
 
 
Ouais, ça m'arrive aussi.  
Le pire, c'est quand après ils te demandent une question secrète (attends, j'ai pas retenu le mdp, comment tu veux que je retienne la question secrète ? )

Bah si... Si il est crypté de leur côté, ils ne l'enregistrenent que sous la forme cryptée ! donc ils ne pourraient te renvoyer que un truc du genre uszg654ergb54er6be4h5416ehe  et pas sous la forme "motdepasse"

Quand tu te connecte à un site, ils comparent le résultat du cryptage du mdp que tu as écrit avec le résultat du cryptage de ton mdp enregistré

non mais le principe c'est de stocker le mot de passe sous forme de hash pour qu'on puisse pas revenir en arriere
avec md5/sha1/autres, y'a pas moyen de passer du hash au mot de passe, du coup personne peut connaitre ton mdp.

Ouais mais même si quelqu'un chope la BDD, s'il arrive pas à choper la clé de cryptage, ben ça lui sert à rien.
Après si quelqu'un arrive à voir la BDD, à priori il y a pas de raison qu'il arrive pas à voir la clé.

Voila  
C'est pour ça que les sites te proposent généralement de le réinitialiser, parce qu'eux même ne peuvent pas te dire quel est ton mdp en clair

 
Faut faire la différence crypté vs hashé.
 
mais clairement niveau sécurité vaut mieux un truc hashé que crypté. Or si c'est hashé, ils ne peuvent pas te le renvoyer en clair ... puisque le principe c'est qu'on ne peut pas dé-hashé (ou très difficilement)

Si il chope la BDD, il n'aura plus qu'à faire du brute-force pour essayer de retrouver les mdp

ouais, j'ai fait l'amalgame des deux vu que c'est souvent le cas

Le but, c'est plutôt d'éviter que le mec qui gère la BDD puisse voir ton mdp en clair.

Ben ça marche aussi si c'est hashé.

Ouais mais si c'est crypté c'est pas en clair.

Je pense que le mec qui la gère a quand même la clé...

D'ailleurs ayant commencé un projet WEB, je me demandais il y a peu si çà valait la peine que je me casse les couilles à masquer les mdp, dans la bdd. Y a t-il vraiment un risque de se la faire hacker ?
 
Mais bon, je pense quand même que je vais me tourner vers le hashage avant de mettre le bordel en ligne, sait on jamais.
 

 
un petit hash sha1, ça prend 2 minutes à rajouter et au moins t'as pas à te poser la question

 
Ouais aussi
 
 
 
Mouais, mais dans ce cas faudrait pas seulement crypter le mot de passe mais tout. Parce que le mdp y s'en tape dans la mesure où il a accès à toutes les données stockées dans la BDD.

non. si c'est la meme facon de crypter et qu'elle est un peu bidon, tu peux la retrouver parce que tu sais qu'au moins un mec aura foutu un pass toupourry (genre "maison" ou sa date de naissance ou 1234). et ensuite, tu peux decrypter tous les mots de passe.
avec un hash, tu pourras trouver les pass de tous les mecs qui ont mis un truc bidon assez vite, mais si tu dois bruteforcer les pass du style Ax8*3@d#z., tu vas vraiment te faire chier. probablement pour rien, parce qu'un mec qui met ce genre de pass a moins tendance a le recycler sur d'autres sites/services qu'un mec qui met "maison".

tu as juste la fonction md5() à ajouter à ton code...  

ou ça aussi

Ah effectivement.

Je pensais à la BDD d'un site web quelconque où il y a à s'enregistrer pour accéder au contenu quand je disais ça.
(Comme ça même si ton mdp est le même que celui pour un compte plus sensible, pas de risques )
Pas à une BDD plus sensible, ou le mdp ne sert à rien puisqu'il a directement accès à tes informations.

Perso je suis de ceux qui font confiance à leur navigateur pour tout retenir à leur place
 
Par contre c'est souvent stocké en clair, et facilement accessible à quelqu'un qui a accès au navigateur

 
   
 
Mais j'ai lu que le hashage est injectif, alors je vois pas en quoi ce serait plus facile de cracker certains pass hachés que d'autre. Ca reste la même merde dans tous les cas non ? J'ai du mal à piger ce qui simplifie la tâche du hackeur dans le cas d'un pass simple, dans la mesure où il est censé ne rien savoir quant à la difficulté du pass avant de le voir en clair.

Ben dans le principe du brute force les mots du genre "maison" ou "chien" seront testés bien avant "Ax8*3@d#z".

attaque dictionnaire. sur une masse assez grande, tu peux etre a peu pres sur qu'au moins quelques uns des mots d'un dictionnaire de mettons 10k elements seront utilisés. et si ton codage des elements est facilement devinable (avec 2-3 entrees), bingo. c'est le principe des attaques contre le WPA-PSK quand les mecs mettent pas une clé tordue : si t'arrives a capturer un seul paquet et que la clé est bidon, en 20 minutes t'es connecté (le temps de tester tout ton gros dico).
apres, tu vas pas tester les trucs compliques parce que ca fait beaucoup trop de combinaisons, meme si tu te limites a des trucs de 6-10 caracteres : toutes les lettres, chiffres, min/maj-uscules, et les caracteres speciaux... c'est la merde.

C'est juste que souvent le brute-force se fait à l'aide de dictionnaires donc le mdp "maison" tombera rapidement tandis que Ax8*3@d#z ne sera pas dans le dico donc pour le trouver, il va falloir tout tester jusqu'à tomber dessus
 

Parce qu'un bruteforce retrouvera beaucoup plus rapidement un pass simple qu'un pass compliqué.

exp( )

Introduction à la théorie et au calcul des probabilités de l'X
L'auteur dédie son livre à ses enfants Margot et Martin.

Pauvres gosses

Moi perso pour mes mots de passe je fais des phrases en remplacant certains lettre par des chiffres ou des caractères spéciaux genre :
 
J3s\/islem3illeur

Je vois pas pourquoi, je pense pas qu'il les oblige à apprendre tout ça par cœur à 7 ans.

Mon quartier est vraiment mal fréquenté

=IF(COUNTBLANK([1]);[2];[3])

avec [1] la cellule où tu as ta somme potentiellement vide, [3] la formule et [2] la même formule en remplaçant la somme par zéro

En français c'est NB.VIDE

 expand();

Y a des HFRiens qui rôdent. C'est flippant.

expand( " ) ?
 
D'ailleurs M.Picadilly, on se fait un Subway demain avec Vira, interested ?

On vient de manger jap'
C'est loin Earls Ct, mais si j'arrive à me réveiller et me motiver je préviendrai Vira

Cool
+/- 15h et quart

Ah, avec un horaire comme ça c'est déjà plus jouable.
D'autant plus que je retrouve ma copine vers 17h45 au Royal Albert Hall
Je vous tiens au courant

Suis-je donc le seul stagiaire précaire sur ce topic  

Ouais, on va claquer £5 chacun pour aller écouter deux symphonies de Beethoven, on sait plus quoi faire de notre argent

Bande de riches

Je crée mes MDP au hasard, et c'est le navigateur qui s'en souvient.

~H-20

Récemment j'ai trouvé une astuce sur un forum :  
faire varier ses mdp avec les noms des sites.
Genre un radical pareil pour tous, et des préfixes/suffixes qui changent en fonction du nom (première/dernière lettre, nombre de lettre, etc).
Comme ça le seul truc à retenir c'est le radical+la façon de le changer.
 
Bon par contre si le site change de nom...

de toute facon tu continues a l'appeler de la meme facon, parce que c'etait mieux avant