Cela dépend encore de l'utilisation. Une connaissance m'a suggéré une utilisation intéressante :
Lorsque je m'authentifie sur mon système de e-banking (par exemple), je dois rentrer mon nom d'utilisateur, mon mot de passe et une valeur prise sur une carte fournie par ma banque. Cette carte comporte 100 valeurs, ce qui fait un nombre de possibilités très réduites pour une seule carte. Les valeurs sur cette carte peuvent être utilisée qu'une seule fois, ce qui veut dire qu'après 100 authentifications, une nouvelle carte doit-être générée. De plus la liste des valeurs utilisées doit être conservées, ainsi que la carte complète.
L'idée est donc de généré une carte à partir d'informations connues uniquement par la banque (un code aléatoire généré par la banque). Ce code doit être conservé par la banque, mais il peut être crypté (à l'aide du mot de passe de l'utilisateur). Donc du côté de la banque on ne garde que le code de génération de la carte (crypté).
Lors de l'authentification, l'utilisateur rentre son nom d'utilisateur, son mot de passe et un code issu de sa carte. Le système va donc choisir, par exemple, 6 caractères totalement au hasard (genre N4, E8, A1, B9, Z3, W7) et l'utilisateur va prendre les caractères sur sa carte et les introduire.
Ensuite le système va utiliser le mot de passe pour décrypter le code de génération de la carte, généré la carte, prendre les valeurs proposées et si elles sont correctes, accepter l'utilisateur.
Avec ce système, l'unique personne à avoir toutes les informations pour s'authentifier est l'utilisateur. La carte à une durée de vie très longue et il n'y a pas besoin de tenir un historique des utilisations (il est possible de le faire, mais pas nécessaire). On ne stocke pas la carte, mais uniquement les informations pour la produire. On garde le maximum de possibilité disponible (89^n (je crois), car il faut aussi enlever les touches mortes (ce qui actuellement n'est pas fait sur mes cartes et ce n'est pas pratique à utiliser, je suis sur le correctif (en fait je dois juste le publier, c'est déjà corrigé)) et enlever le 0 O o l 1 (facile à confondre) soit 83^n).
Donc pour un code à 6 caractères, on a > 336e9 possibilités.
Je sais pas si c'est mieux, mais ça à l'air bien.
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell
[^] # Re: sauf que
Posté par Etienne Bagnoud . En réponse au journal Carte pour mot de passe. Évalué à 2.
Lorsque je m'authentifie sur mon système de e-banking (par exemple), je dois rentrer mon nom d'utilisateur, mon mot de passe et une valeur prise sur une carte fournie par ma banque. Cette carte comporte 100 valeurs, ce qui fait un nombre de possibilités très réduites pour une seule carte. Les valeurs sur cette carte peuvent être utilisée qu'une seule fois, ce qui veut dire qu'après 100 authentifications, une nouvelle carte doit-être générée. De plus la liste des valeurs utilisées doit être conservées, ainsi que la carte complète.
L'idée est donc de généré une carte à partir d'informations connues uniquement par la banque (un code aléatoire généré par la banque). Ce code doit être conservé par la banque, mais il peut être crypté (à l'aide du mot de passe de l'utilisateur). Donc du côté de la banque on ne garde que le code de génération de la carte (crypté).
Lors de l'authentification, l'utilisateur rentre son nom d'utilisateur, son mot de passe et un code issu de sa carte. Le système va donc choisir, par exemple, 6 caractères totalement au hasard (genre N4, E8, A1, B9, Z3, W7) et l'utilisateur va prendre les caractères sur sa carte et les introduire.
Ensuite le système va utiliser le mot de passe pour décrypter le code de génération de la carte, généré la carte, prendre les valeurs proposées et si elles sont correctes, accepter l'utilisateur.
Avec ce système, l'unique personne à avoir toutes les informations pour s'authentifier est l'utilisateur. La carte à une durée de vie très longue et il n'y a pas besoin de tenir un historique des utilisations (il est possible de le faire, mais pas nécessaire). On ne stocke pas la carte, mais uniquement les informations pour la produire. On garde le maximum de possibilité disponible (89^n (je crois), car il faut aussi enlever les touches mortes (ce qui actuellement n'est pas fait sur mes cartes et ce n'est pas pratique à utiliser, je suis sur le correctif (en fait je dois juste le publier, c'est déjà corrigé)) et enlever le 0 O o l 1 (facile à confondre) soit 83^n).
Donc pour un code à 6 caractères, on a > 336e9 possibilités.
Je sais pas si c'est mieux, mais ça à l'air bien.
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell