Bonjour, ici les mots de passe ne sont pas cryptés il me semble puisqu'on le retrouve tel quel dans la page d'édition de profil Est ce que ça pose un probleme de pas crypter les mots de passe apparemment eux ils n'ont pas de soucis ou bien

ils sont peut-être cryptés avec une clé qu'à priori eux celles connaissent. Ils ne sont peut-être pas cryptés. Dans les deux cas, c'est mal

http://blog.deblan.fr/Billet/Les-bases-de-la-securite-sur-un-site-PHP-0419/ à partir de "Ceci m'amène à une règle essentielle qui est de hashée les données sensibles des utilisateurs".

ok je comprend, je fais un truc pour mes membres qui perdent leur mot de passe et la facilité c'était de pas crypter les mots de passe pour leur renvoyer mais donc vaut mieux pas faire ça

tu régénères un mot de passe et basta =)

"ici les mots de passe ne sont pas cryptés il me semble puisqu'on le retrouve tel quel dans la page d'édition de profil"

Crypter a quel niveau ? Dans les formulaires ou dans la base de donnée ?

Les mots de passe sont très certainement cryptés dans la base de donnée...

On peut en douter, dans la mesure ou JVC te l'affiches en clair dans ton profil, donc soit crypter et décrypter avec une clé maison, soit en clair

Ils ont un cryptage reversible. Quand tu oublies ton mot de passe on t'envoie le vrai.

Que les mots de passe soit en clair ou soit crypté de façon réversible, ce n'est pas top, surtout pour un site de l'empleur de JVC.

Je pense qu'ils utilisent PHP pour la fonction login/moncompte, pourquoi ne pas utiliser le MD5 pour hasher les pwd ? C'est clair, net et efficace.

Avec un salt en plus (cf le lien vers mon blog). Pour info, des gens on peut générer des collisions donc il n'est plus aussi sur qu'avant (md5).

Donc au final si j'ai bien compris on devrait prendre la chaîne, lui un ajouter le SALT, et hasher en md5 ? Inversement pour vérifier.

J'ai aussi entendu dire la même chose à propos des collisions mais ceci dit ça doit rester assez rare non ?

Pour trouver le mot de passe, disons que certains sites ont une liste assez longue de hash md5, donc les password courant tombent assez vite, ceci dit avec l'idée du salt ça devient vite beaucoup plus complexe (bon ok si vous prenez test mais un salt genre 0!(&:, ça devient quasi impossible à trouver).

Perso, j'attends de voir deux messages ayant la même empreinte avant de dire qu'il n'est plus sûr.

Quand aux invariants, c'est dans le sens contraire, messages vers md5.