Espace membre PHP : stockage mot de passe et email, cryptage?

[milkiway]

Bonjour,

Je suis en train de créer un espace membre en PHP.
Pour le mot de passe, je le stocke en base mais bien évidemment pas en clair.
J'avais pensé à stocker un hash mais je trouve ça contraignant : impossible de le décoder pour le fournir de nouveau en cas d'oubli (forcé de redemander un nouveau pass).

Comment faites vous / comment font les sites pour stocker les mots de passe "brouillés" mais proposer de le recevoir par email en clair ?

Je pense partir sur une solution de cryptage avec clé. Qu'en pensez vous ?

De même, stockez vous les adresses email en clair ou cryptées ?
L'avantage est qu'il est possible de décrypter.

Je veux avant tout la sécurité de mes utilisateurs...

Merci

[Robinson]

Bonjour,

Si tu veux une option qui permette aux membres de récupérer leur mot de passe, tu n'as guère le choix.
Hormis créer ta propre fonction de cryptage/décryptage, les données seront toujours en clair ou très facilement retrouvables.

Après, y'a peu d'importances si t'es le seul à avoir accès aux bases et que tu ne laisses pas des failles béantes sur ton site

[jamalofski]

Tu continues à stocker ton mot de passe en hash et tu demandes à l'utilisateur de le recréer si jamais il l'oublie. C'est la manière la plus propre pour gérer ceci!

Une des choses que je déteste le plus au web est qu'un site m'envoie mon mot de passe par mail. Cela veut dire qu'il l'ont stocké en clair et ça ne fait pas très sérieux.

[Haroeris]

Tu génères un nouveau mot de pass et tu l'envoie par mail avant de le crypter.

[Anto1982]

Tu génères un nouveau mot de pass et tu l'envoie par mail avant de le crypter.

+1

[spout]

Tu génères un nouveau mot de pass et tu l'envoie par mail avant de le crypter.

Oui c'est comme ça qu'on fait. C'est souvent un hash md5 couplé avec un hash key secret. Qd le membre perd son mot de passe, jamais on ne lui donne son ancien mot de passe, vu qu'on ne le connais pas (juste la version hashée) (on va pas non plus faire un brute force) on en génère un nouveau.

[milkiway]

Je viens de vérifier parmi tous les sites où je suis inscrits, effectivement crypter ne se fait plus depuis pas mal d'années visiblement. Le hash semble plus à la mode.

Je vais donc hasher le pass ++ et crypter le mail. Si quelqu'un tombe sur la base je lui souhaite bien du courage pour l'exploiter !

EDIT : quand je pense que des scripts de NL comme phpList stockent login, pass et email sans aucun hashage ni cryptage...
Un hack et c'est la blacklist SMTP immédiate.

[Robinson]

milkiway, si quelqu'un accède à toute ta base, les mots de passe hashés sera bien le dernier de tes problèmes...

[honolulu]

Tu génères un nouveau mot de pass et tu l'envoie par mail avant de le crypter.

c'est exactement ainsi que je procède également

[milkiway]

Tu génères un nouveau mot de pass et tu l'envoie par mail avant de le crypter.

c'est exactement ainsi que je procède également

Ok donc toi tu cryptes, donc tu peux décrypter, c'est ce que je disais dans le premier post!

[Haroeris]

Non, j'utilise un cryptage md5 + un cryptage avec clé, ce qui rend bien plus long un cassage par force brute.
On ne peut pas revenir en arrière théoriquement.

[milkiway]

Ok. Et la clé de validation envoyée par mail, comment gérez vous sa durée de vie ?

[honolulu]

Non, j'utilise un cryptage md5 + un cryptage avec clé, ce qui rend bien plus long un cassage par force brute.

+1
et o peut rajouter un sleep de 5 secondes entre chaque tentative de connexion, histoire de pimenter le truc

[Haroeris]

Non, j'utilise un cryptage md5 + un cryptage avec clé, ce qui rend bien plus long un cassage par force brute.

+1
et o peut rajouter un sleep de 5 secondes entre chaque tentative de connexion, histoire de pimenter le truc

Oui, même si il faut bien différentier les deux niveaux de protection , le md5 ne va protéger que si la base de donnée est hackée et que le pirate à récupéré la liste des mots de passe.
celui ci doit donc utiliser un force brute pour arriver a les casser.

Mais aussi indestructible que soit le cryptage, il reste bien faible si le mot de passe en lui même est simple c'est pourquoi il peut être plus rapide d'appliquer le force brute directement sur le formulaire, c'est la que en effet limiter le nombre de tentative par minute est très utile.

[milkiway]

Encore une question mais sur la regénération de passe.

La procédure suivante laisse t elle une faille (fonctionnelle) ?

J'ai perdu mon mot de passe.
Je me rends sur une page où je dois indiquer mon adresse email.
Si elle est valide et qu'elle correspond bien à un compte, je reçois par mail directement un nouveau passe.
Dans ce mail, je dois cliquer sur un lien de confirmation de changement de mot de passe.
=> Je le fais, tout est validé et j'ai mon nouveau passe (en clair dans le mail, hashé et crypté en base)
=> Je ne clique pas ou je clique 48h après la demande de regénération, j'obtiens un refus

Je pose la question car parfois il faut d'abord valider qu'on a fait la demande pour suelement là recevoir le nouveau passe.