C'est de la diffamation?

[gripsous]

Ton billet n'etait pas vraiment méchant. Vraiment maintenant les gens frôle la parano quand même. Il aurait pu prendre deux minutes pour démontrer poliement que tu te trompais et en gentil garçon tu aurais mis ça en page d'accueil de ton blog. C t pas plus simple...

[shrom]

La sécurité d'un mot de passe et d'un systeme passe avant tout par une méthode simple : la non divilgation de la méthode de cryptage

Réaction totalement imbécile. Si le mec a accès aux mots de passe chiffrés, il y a 100% de chances qu'il ait aussi accès à ta méthode de chiffrement super confidentielle. Donc autant conserver les mots de passe en clair dans la base.

En matière de sécurité informatique, la sécurité par l'obscurantisme a toujours été la pire des méthodes.

Un algo comme md5, sha1 et consort n'est pas réversible ( autrement ce serait un super algo de compression ), ce sont des algoritmes de hachage et pas de chiffrement. La seule méthode pour attaquer ces algos est de faire de la force brute et afin de ralentir cette attaque par force brute, il faut ajoute ce que l'on appelle le salt ( sel en français ).

[bzctoons]

La problématique de la sécurité n'est pas diffamatoire.

Combien d'entre nous utilisent le même mot de passe (ou avec petites variations) sur tout les sites ou on est inscrits. Voire nosq compte email, voire pire....
C'est pas de la parano, c'est réél. Je trouve que le fait que JeunZ s'interroge de la manière dont est stocké son mot de passe est louable.
De plus ce n'est pas de la diffamation parce que :
- il est impossible de casser un md5 : il ya plusieurs mot de passe qui correspondent à une clef de hachage
- si un site peu renvoyer le mot de passe c'est que soit :
1. le mot de passe est stocké en clair
2. le site utilise un algo de cryptage reversible donc la clef est quelque part dans le code. Si il y a une intrusion dans le systéme est que la base de données est dérobée il y a fort à penser que les sources pourrait l'être.

La protection des données utilisateurs incombe aux exploitants du site (cf. la CNIL) et en tant qu'utilisateur JeunZ à le droit de se demander comment sont protégées ses données personnelles. Et vu qu'aucune société ne dira qu'elle s'est fait fauché tout les comptes clients....
Parmis les incidents connus :
- France télécom s'est fait fauché pas mal de code d'accés il ya quelques années une nuit de tempête
- les YesCards
- la carte de sécu
- plusieurs sociétés US se sont fait taxé des numéro de de CB par paquets de 10.000 !
- il ya même des histoires avec des employés qui ont fauché des listing de CB

Ce que je cite au dessus n'est pas de la diffamation parce ce que sont des infos publiques et je suis sûr qu'il y a pas mal de sociétés qui ont eu ce genre de problèmes et qui n'en parle pas (tu m'etonnes !)

Donc plutôt que de crier à la diffamation, alors que personne n'a d'actions dans cette société (du moins je crois), il faut dénoncer ce genre de choses.

Pourquoi ? Pas pour causer préjudice à cette société (aucun intérêt) mais pour mettre en avant un autre probléme beaucoup plus sournoi :
- la réduction des coûts de développement au mépris de la sécurité des applications et des données utilisateurs.
- l'exploitation de ces données en terme de marketing direct

Bon aprés, il faut quand même relativiser sur le fait que toutes les infos ne sont pas sensibles non plus.

Toutefois, il est vrai que le fait d'annoncer ça publiquement sur son site est franchement maladroit. C'est un recours uniquement quand la société est pas capable de rassurer les utilisateurs sur la manière dont les données sont sécurisées.

Nous rentrons petit à petit dans l'air de la biométrie, il y a d'ailleurs en ce moment même une polémique sur l'utilisation des tests par iris utilisés à Redbus et donc, selon moi, il est important de se pencher sur ce qui est fait de nos données personnelles.

[Suede]

D'un moyen ou d'un autre il est "reversible" puisque tu peut verifier que le mot de passe enregistrer dans ta base est le meme que celui que ton utilisateur viens de taper.

Me comprends tu ?

Ce n'est pas de la réversibilité. L'algo md5 n'est pas bijectif. On ne vérifie pas que les mots de passe sont les mêmes, on vérifie que le résultat est le même. Ce n'est que le résultat du hachage qui est stocké dans la base de donnée.

François

[bzctoons]

Un exemple en couleur
http://www.pcinpact.com/actu/news/La_ju ... logueu.htm