Authentification sécuriséeRésolu/Fermé

Question

Salut à tous,
Je débute en programmation web et je développe actuellement un site web de manière amateur.
Pour se logger l'utilisateur entre son mot de passe et celui-ci est envoyé via le réseau. Ce dernier est bien sûr haché avant d'être envoyé au serveur qui le compare au mot de passe haché en base de donné.

Voici mon problème : si un pirate parvient a récupèrer la signature du mot de passe lors de son transite sur le réseau, il n'a qu'a l'envoyer tel quel au serveur et il sera alors loggé...

Bien sûr j'ai mis en oeuvre d'autre choses pour renforcer la sécurité de mon site comme par exemple le fait de tester la page web de laquelle proviennent les information de l'utilisateur. Il n'empêche qu'elle peuvent toutes être contournée (plus ou moins difficilement).

Ma question : existe-t-il un un moyen de combler la faille dont je viens de vous parler, avant d'utiliser SSL (non-disponible sur mon hébergeur) ou encore des librairies javascript de chiffrement assymétriques (assez compliqué à mettre en oeuvre) ?

nEm3sis · Answer

j'ai quelques idée pour toi mais bon je doute que ce soit utile car si le pirate peut intercepter tout ce que tu envoie au serveur il pourra se faire passer pour toi quoi qu'il arrive, et vu que ton hébergeur ne supporte pas le ssl j'en déduis que tu n'auras donc pas les moyens de mettre en place des solutions qui coûterais bien plus cher que le ssl

1) tu peux au chargement de la page mette un clé dans celle ci (aléatoire bien sur)
avec cette clé tu cryptes le mot de passe en javascript
puis tu envois ce passe au serveur
le serveur a bien sur noté que la clé est associé à toi (avec les sessions) et donc peut décrypter le passe puis le hash pour le comparer à celui stocké dans la base de donnée

2) après la connexion tu demande un mot de passe (qui est envoyé par mail au moment de le tentative de connexion) s'il se connecte d'un pc inconnu (comme l'authentification en 2 temps de google sauf que pour des raisons de budget tu ne le fais que par mail)

Green · Answer

Merci pour tes proposition, je doit dire que je n'avais pas pensé à la seconde, je vais me pencher la dessus.

En ce qui concerne la première, j'y avait penser, mais si le pirate peux intercepter la signature d'un mot de passe provenant du client, il peut également intercepter une clé transmise par le serveur. 

Mais si il s'agit d'une clé publique, il ne peut rien en faire !

Malheureusement, qui dis clé publique dis RSA, ou autre chose du genre... pas une mince affaire coté client avec javascript...

Tu as d'autres idées en tête ? sinon, tanpis, je me tape de RSA :(...

Authentification sécurisée

2 réponses

Discussions similaires

Newsletters