« Attention, paranoïaque en approche à 11 heures ! Feu à volonté ! »
Ahem.
Un (rapide, certes) coup d’œil au code ne m’inspire pas beaucoup confiance. Deux petites choses me gènent particulièrement.
D’abord, même si l’auteur met en avant le fait qu’il s’agisse d’un bookmarklet qui s’exécute localement, je vois que le code télécharge une version de jQuery depuis les serveurs de Google. Donc, même si j’installe le bookmarklet une fois pour toute (après avoir vérifié qu’il fait bien ce qu’il est censé faire), a priori chaque fois que je l’exécute je récupère un bout de code arbitraire depuis l’Internet. Merci, sans façon.
Ensuite, j’ai de grosses réserves sur l’algorithme de génération de mots de passe. Par défaut, c’est simplement une concaténation du mot de passe « maître » et de l’URL du site cible, passé dix fois de suite à la moulinette de MD5.
La fonction MD5 est à mon avis beaucoup trop faible pour être encore utilisée de cette façon. Faire dix passages au lieu d’un seul n’y change pas grand’chose. Pour peu que le mot de passe maître ne soit pas suffisamment complexe, quelqu’un qui sait que tu génères tes mots de passe de cette façon pourrait probablement remonter jusqu’au mot de passe maître (et là, c’est jackpot, il connaît tous tes mots de passes pour tous les sites que tu visites).
Il est possible d’utiliser SHA512 au lieu de MD5, ce qui est certes nettement mieux mais ce n’est toujours pas une fonction appropriée pour ce genre de tâche.
[^] # Re: SuperGenPass
Posté par gouttegd . En réponse au journal Où mettre son archive de mots de passe ?. Évalué à 6.
« Attention, paranoïaque en approche à 11 heures ! Feu à volonté ! »
Ahem.
Un (rapide, certes) coup d’œil au code ne m’inspire pas beaucoup confiance. Deux petites choses me gènent particulièrement.
D’abord, même si l’auteur met en avant le fait qu’il s’agisse d’un bookmarklet qui s’exécute localement, je vois que le code télécharge une version de jQuery depuis les serveurs de Google. Donc, même si j’installe le bookmarklet une fois pour toute (après avoir vérifié qu’il fait bien ce qu’il est censé faire), a priori chaque fois que je l’exécute je récupère un bout de code arbitraire depuis l’Internet. Merci, sans façon.
Ensuite, j’ai de grosses réserves sur l’algorithme de génération de mots de passe. Par défaut, c’est simplement une concaténation du mot de passe « maître » et de l’URL du site cible, passé dix fois de suite à la moulinette de MD5.
La fonction MD5 est à mon avis beaucoup trop faible pour être encore utilisée de cette façon. Faire dix passages au lieu d’un seul n’y change pas grand’chose. Pour peu que le mot de passe maître ne soit pas suffisamment complexe, quelqu’un qui sait que tu génères tes mots de passe de cette façon pourrait probablement remonter jusqu’au mot de passe maître (et là, c’est jackpot, il connaît tous tes mots de passes pour tous les sites que tu visites).
Il est possible d’utiliser SHA512 au lieu de MD5, ce qui est certes nettement mieux mais ce n’est toujours pas une fonction appropriée pour ce genre de tâche.