URL: https://linuxfr.org/users/misterv/journaux/s%C3%A9curisation-de-lauthentification Title: Sécurisation de l'authentification Authors: Nicolas Deveaud Date: 2011年03月18日T16:41:28+01:00 License: CC By-SA Tags: Score: 24 Salut, Cet aprèm, j'ai acheté des barres de toit pour ma voiture. J'ai trouvé ce qu'il me faut sur un site web. Je me lance donc dans le processus d'achat : Tout d'abord, créer un compte : formulaire pas en https, mes login / mot de passe et tout le reste vont transiter en clair... Ne parlons même pas du https lorsque je suis connecté, le vole de session c'est des problèmes de paranos hystériques... Après avoir créé un compte je reçois un mail de confirmation. Dans ce mail, j'ai la joie de découvrir mon login et mon mot de passe récapitulés. Donc en plus de ne pas sécuriser le formulaire d'inscription, on peut en déduire que mon mot de passe est stocké de manière lisible chez eux (merci la confiance), et ils se permettent de faire circuler mon mot de passe en clair dans un mail sans m'avoir rien demandé. Une expérience de ce type, moi qui suis un peu sensible sur la question, ça me file des boutons. Pas que je craigne pour ma vie (sur ce type de site je sais bien qu'il faut pas leur faire confiance, et je suis méfiant), mais je trouve incroyable que des développeurs puissent se permettre de tels pratiques totalement irrespectueuses envers leurs clients. Et je sais très bien que le système de ce site qui me semble si insécurisé et si peu digne de confiance semblera tout à fait digne de confiance par la grande majorité des utilisateurs, ce qui est un peu flippant. Étant vexé par ce manque de respect, je me suis donc permis de leur envoyer un message récapitulant les problèmes que leur système d'authentification me pose, et leur présentant des pistes d'évolutions qui pourraient améliorer leur service (hash des mot de passe en base, https, pas de pass dans le mail..., et idéalement OpenID). Voila c'est tout, je voulais juste partager cette expérience afin éventuellement de motiver d'autres personnes à faire de même. Je me dis qu'en faisant systématiquement un retour négatif aux sites trop irrespectueux, peut-être que ça pourra participer à une petite prise de conscience des implications de cet irrespect. Et au passage ça pourrait faire de la pub à l'OpenID, ce qui ne peut pas faire de mal. Ciao à tous