pour éviter de transmettre ton password en clair ..
- 1 utiliser SSL
- 2 j'ai fait un journal a propos d'une solution GnuPG ou PGP client side
ici https://linuxfr.org/~lilliput/17830.html(...) et ca n'interresse personne.. :(
En gros les problemes liés aux pages web est du a plusieurs fait.
-> cookie : coté client
-> session ID: coté client
-> transmission du mot de passe coté client et en clair.
Solution certaine technologie gere les cookies et session serveur side, cependant spoofer la connection reste pas impossible donc le probleme reste entier, mais un peu moins dangeureux.
coté ssl faut pas croire que le SSL est la réponse a toutes les solutions.
une attaque assez "marrante" consiste a demandé au serveur de générer une quantité énorme de clef, d'en constituer une base de données, si la machine dispose pas d'une librairie puissante pour gérer des nombres aléatoires + pas de reboot = SSL inutile..
voila ce genre de traffic est considéré comme normal aupres de la plupart de proxy, et peux etre générer via plusieurs pc .. sur plusieurs jour.
Le mot de passe pose un GROS probleme, notamment son stockage.. on va pas remonté sur le cas Tuxfamily mais en gros beaucoup de site web ne crypte pas les mots de passe. :(
-> Orange.fr permet meme de renvoyé son mot de passe par SMS .. et j'en passe.. le fameux teste du mot de passe perdu donne une idée..
Bon faut SURTOUT pas oublier que la protection par mot de passe a un point faible, un gros point faible, la sécurité sur la machine local. Un simple trojan permet de logger clavier souris.
Pour une meilleur sécurité je viserai plutot sur un logiciel qui permettrai d'encrypter le mot de passe via une clef public, independamment du chiffrage de la connection. Bon apres tout depend de la sécurité voulu sur son site ^^
[^] # Re: l'interêt ?
Posté par ~ lilliput . En réponse au journal Jouage avec les mots de passe. Évalué à 3.
- 1 utiliser SSL
- 2 j'ai fait un journal a propos d'une solution GnuPG ou PGP client side
ici https://linuxfr.org/~lilliput/17830.html(...) et ca n'interresse personne.. :(
En gros les problemes liés aux pages web est du a plusieurs fait.
-> cookie : coté client
-> session ID: coté client
-> transmission du mot de passe coté client et en clair.
Solution certaine technologie gere les cookies et session serveur side, cependant spoofer la connection reste pas impossible donc le probleme reste entier, mais un peu moins dangeureux.
coté ssl faut pas croire que le SSL est la réponse a toutes les solutions.
une attaque assez "marrante" consiste a demandé au serveur de générer une quantité énorme de clef, d'en constituer une base de données, si la machine dispose pas d'une librairie puissante pour gérer des nombres aléatoires + pas de reboot = SSL inutile..
voila ce genre de traffic est considéré comme normal aupres de la plupart de proxy, et peux etre générer via plusieurs pc .. sur plusieurs jour.
Le mot de passe pose un GROS probleme, notamment son stockage.. on va pas remonté sur le cas Tuxfamily mais en gros beaucoup de site web ne crypte pas les mots de passe. :(
-> Orange.fr permet meme de renvoyé son mot de passe par SMS .. et j'en passe.. le fameux teste du mot de passe perdu donne une idée..
Bon faut SURTOUT pas oublier que la protection par mot de passe a un point faible, un gros point faible, la sécurité sur la machine local. Un simple trojan permet de logger clavier souris.
Pour une meilleur sécurité je viserai plutot sur un logiciel qui permettrai d'encrypter le mot de passe via une clef public, independamment du chiffrage de la connection. Bon apres tout depend de la sécurité voulu sur son site ^^
désolé je suis en qwerty.. j'ai que le é ..
http://www.theatre-eibel.fr http://www.isc2chapter-yorkshire.co.uk