85 votes

Cryptage du mot de passe côté client

Duplicata possible :
A propos du système de hachage de mot de passe côté client

Je dois sécuriser les mots de passe des utilisateurs de mon site web. Ce que j'ai fait, c'est utiliser MD5 chiffrement côté serveur. Mais le problème est que les mots de passe restent en texte clair jusqu'à ce qu'ils arrivent au serveur, ce qui signifie que le mot de passe peut être capturé à l'aide de la surveillance du trafic. Ce que je veux donc, c'est utiliser un mécanisme de cryptage/hachage de mot de passe côté client et envoyer le mot de passe crypté/haché. Quelqu'un peut-il me dire comment procéder ?

40 votes

MD5 n'est pas un cryptage. Quelque chose de crypté peut être décrypté, par définition

0 votes

C'est vrai Gareth. MD5 est un algorithme de hachage cryptographique à sens unique, ce n'est pas un cryptage car, comme vous l'avez dit à juste titre, il ne peut pas être décrypté à l'aide d'une formule. Il ne peut être attaqué que par force brute ou vérifié par rapport à une table de hachages connus.

0 votes

Oui, et lorsque vous stockez le hachage MD5 (ou tout autre type de hachage) d'un mot de passe, n'oubliez jamais d'utiliser un sel ! ( owasp.org/index.php/Hashing_Java#Why_add_salt_.3F )

9voto

EJP Points 113412

Vous avez étiqueté cette question avec la mention ssl et SSL est la réponse. Curieux ?

4voto

Pascal Qyy Points 2587

Vous pouvez également utiliser simplement authentification http con Digeste ( Voici quelques informations si vous utilisez Apache httpd , Apache Tomcat , et ici une explication de digest ).

Avec Java, pour des informations intéressantes, jetez un coup d'œil à :

2voto

Zack Bloom Points 4515

Il existe des bibliothèques MD5 pour javascript. Gardez à l'esprit que cette solution ne fonctionnera pas si vous devez aider des utilisateurs qui ne disposent pas de javascript.

La solution la plus courante consiste à utiliser HTTPS. Avec HTTPS, le cryptage SSL est négocié entre votre serveur web et le client, ce qui permet de crypter de manière transparente l'ensemble du trafic.

0voto

Pour une situation similaire, j'ai utilisé ceci PKCS #5 : Norme de cryptographie basée sur le mot de passe des laboratoires RSA. Vous pouvez éviter de stocker le mot de passe en le remplaçant par quelque chose qui ne peut être généré qu'à partir du mot de passe (en une phrase). Il existe des implémentations en JavaScript.

Prograide.com

Prograide est une communauté de développeurs qui cherche à élargir la connaissance de la programmation au-delà de l'anglais.
Pour cela nous avons les plus grands doutes résolus en français et vous pouvez aussi poser vos propres questions ou résoudre celles des autres.

Powered by:

X