J'ai mal utilisé le terme chiffrement: je pensais à une injection de clé, avec en plus un "key streching" (désolé, pas d'idée de traduction) histoire d'augmenter l'entropie et de ralentir le hachage (pas besoin de vitesse en utilisation normale dans ce cas) pour limiter le bruteforce, le tout itéré avec une bonne fonction de hachage (Keccak?). C'est un peu ce que tu décris, sauf qu'il y a peu d'itérations (10 me semble bien faible mais c'est bien leur défaut, tu as raison!) et que, par défaut, ils se contentent d'un hash MD5 (voir leur code) alors qu'ils utilisent crypto-js qui supporte du sha3 (donc du Kekkac).
Dommage, je trouvais l'idée sympa. Enfin, ça reste toujours mieux que du mot de passe identique partout...
Sinon, qq'un a une idée de comment le navigateur assure qu'un "processus" (pas au sens système) javascript ne peut jamais accéder à la mémoire d'un autre "processus"? C'est threadé et laissé à l'OS? Je pensais au mot de passe maître qui réside en mémoire et ça ne m'inspire pas confiance (à tort?).
[^] # Re: SuperGenPass
Posté par Trollgouin . En réponse au journal Où mettre son archive de mots de passe ?. Évalué à 3.
Merci pour les infos:
J'ai mal utilisé le terme chiffrement: je pensais à une injection de clé, avec en plus un "key streching" (désolé, pas d'idée de traduction) histoire d'augmenter l'entropie et de ralentir le hachage (pas besoin de vitesse en utilisation normale dans ce cas) pour limiter le bruteforce, le tout itéré avec une bonne fonction de hachage (Keccak?). C'est un peu ce que tu décris, sauf qu'il y a peu d'itérations (10 me semble bien faible mais c'est bien leur défaut, tu as raison!) et que, par défaut, ils se contentent d'un hash MD5 (voir leur code) alors qu'ils utilisent crypto-js qui supporte du sha3 (donc du Kekkac).
Dommage, je trouvais l'idée sympa. Enfin, ça reste toujours mieux que du mot de passe identique partout...
Sinon, qq'un a une idée de comment le navigateur assure qu'un "processus" (pas au sens système) javascript ne peut jamais accéder à la mémoire d'un autre "processus"? C'est threadé et laissé à l'OS? Je pensais au mot de passe maître qui réside en mémoire et ça ne m'inspire pas confiance (à tort?).