Ton analyse à plusieurs faiblesses. La plus grave est que tu ne fais pas tout l'analyse des menaces sur l'utilisateur de la banque en ligne et ne peut donc pas critiquer la solution que tu prétends analyser au regard de son efficacité. Le second point est que ton discours, purement technique, entame rapidement ta crédibilité: il n'y a aucun intérêt à hasher des chiffres: il n'y a que dix chiffres et donc autant dix valeurs de hashs possibles.
L'intérêt du procédé est qu'il demande à l'utilisateur de montrer qu'il connaît un secret, sans dévoiler l'intégralité du secret à la connexion. Il y a de nombreuses situations où cela se montre utile, par exemple si on se connecte en public (sur son portable) ou si l'ordinateur est surveillé informatiquement (par exemple via une vulnérabilité du navigateur).
(Ceci dit il faut rappeler que cette procédure de connexion permet d'accéder aux relevés bancaires mais ne permet de réaliser aucune transaction, pour lesquelles une authentification supplémentaire est nécessaire.)
[^] # Re: 3 chiffres sur 6, c'est 6 hashs de 1 chiffre chacun
Posté par Michaël (site web personnel) . En réponse au journal Sécurité et authentification des sites bancaires.. Évalué à 4.
Ton analyse à plusieurs faiblesses. La plus grave est que tu ne fais pas tout l'analyse des menaces sur l'utilisateur de la banque en ligne et ne peut donc pas critiquer la solution que tu prétends analyser au regard de son efficacité. Le second point est que ton discours, purement technique, entame rapidement ta crédibilité: il n'y a aucun intérêt à hasher des chiffres: il n'y a que dix chiffres et donc autant dix valeurs de hashs possibles.
L'intérêt du procédé est qu'il demande à l'utilisateur de montrer qu'il connaît un secret, sans dévoiler l'intégralité du secret à la connexion. Il y a de nombreuses situations où cela se montre utile, par exemple si on se connecte en public (sur son portable) ou si l'ordinateur est surveillé informatiquement (par exemple via une vulnérabilité du navigateur).
(Ceci dit il faut rappeler que cette procédure de connexion permet d'accéder aux relevés bancaires mais ne permet de réaliser aucune transaction, pour lesquelles une authentification supplémentaire est nécessaire.)