Mots de passe via HMAC

# Mots de passe via HMAC

Posté par jben le 10 mai 2013 à 14:26. En réponse au journal Sécurité des mots de passe. Évalué à 6. Dernière modification le 10 mai 2013 à 14:27.
Perso pour générer mes mots de passes j'utilise HMAC tel que décrit dans la RFC2104.
```
import hashlib
import hmac
class mdp:
 def __init__(self, key, msg):
 self.h = hmac.new(key,msg,hashlib.sha256)
 alphanumspecial = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789<>?,./;\'\\:"|[]{}`-=~!@#$%^&*()_+'
 alphanum = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789'
 alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
 num = '0123456789'
 def get(self,length=15,alphabet=alphanum):
 n = int(self.h.hexdigest(),16)
 password = ''
 while(len(password)<length and n>0):
 password += alphabet[n%len(alphabet)]
 n=n//len(alphabet)
 return(password)
```
J'ai ma clef secrete, que je ne communique à personne, et pour chaque site j'utilise une chaine pour l'identifier, par exemple linuxfr ou servicepublic. Je calcule condensat HMAC (SHA256), puis je décompose ce condensat dans un alphabet et je tronque. Par defaut j'utilise l'alphabet alphanumérique (donc base62), et je tronque à 15 caractères.

Cela se résume en :
```
from mdp import mdp
mdp('ma_clef','le_service').get()
```
Si la clef est suffisament forte, cela fait une entropie de 89 bits.

Après dans la vrai vie j'ai une toute petite gui que je lance avec un raccourci clavier, je rentre ma clef et le nom du site, puis je valide et ça me met le mot de passe dans le champ de texte. (Ce code fait appel à celui cité içi, mais il est trop moche pour que je publie ici), et j'ai une version de secours qui s'utilise en ligne de commande sur mon mobile au cas où.

De cette manière, je n'ai aucun soucis de synchronisation d'une quelquonque base de donnée.

Mots de passe via HMAC

# Mots de passe via HMAC