Pourquoi faire reposer la sécurité sur la clef et pas sur la methode… vaste question, et ce qui est dommage c'est qu'elle est imcomprise.
Le principal problème de faire reposer la sécu sur la méthode, c'est que tu n'a aucun moyen de quantifier la qualité et la robustesse de son algo. Sais tu combien de temps faudrait-il pour explorer la moitié de l'espace des algos de génération de mots de passe compatibles avec le cerveau humain, moi non.
Et honnetement, si on récupère ton mot de passe sur un site, combien de temps cela lui prendra de récuperer la methode si il n'y a pas d'étape de hachage cryptographique ? Alors on me réponds que pour l'instant ça suffit ça arrète les attaques brutales par liste de login/pass récupérés sur un site. Vous vous protegez à un instant t, il est tout a fait réaliste que quelqu'un code un robot pour faire ce genre de chose, c'est techniquement possible, donc c'est grave de ne pas s'en proteger.
Je vous parrait peut-être parano, on verra lorsque vous serez obliger de changer votre methode de génération à cause d'une généralisation de ce genre d'attaque. C'est tout à fait possible, on fait chier Madame Michu pour qu'elle utilise des mdp differents sur differents services, elle fait de petites variations, le robots vont apprendre à recréer des variation et à comprendre comment les mdp sont générés…
[^] # Re: C'est une blague ?
Posté par jben . En réponse au journal Gé(né)rer ses mots de passe. Évalué à 0.
Pourquoi faire reposer la sécurité sur la clef et pas sur la methode… vaste question, et ce qui est dommage c'est qu'elle est imcomprise.
Le principal problème de faire reposer la sécu sur la méthode, c'est que tu n'a aucun moyen de quantifier la qualité et la robustesse de son algo. Sais tu combien de temps faudrait-il pour explorer la moitié de l'espace des algos de génération de mots de passe compatibles avec le cerveau humain, moi non.
Et honnetement, si on récupère ton mot de passe sur un site, combien de temps cela lui prendra de récuperer la methode si il n'y a pas d'étape de hachage cryptographique ? Alors on me réponds que pour l'instant ça suffit ça arrète les attaques brutales par liste de login/pass récupérés sur un site. Vous vous protegez à un instant t, il est tout a fait réaliste que quelqu'un code un robot pour faire ce genre de chose, c'est techniquement possible, donc c'est grave de ne pas s'en proteger.
Je vous parrait peut-être parano, on verra lorsque vous serez obliger de changer votre methode de génération à cause d'une généralisation de ce genre d'attaque. C'est tout à fait possible, on fait chier Madame Michu pour qu'elle utilise des mdp differents sur differents services, elle fait de petites variations, le robots vont apprendre à recréer des variation et à comprendre comment les mdp sont générés…