kikoo25 a écrit :



FileZilla fait pareil. L’argument donné étant qu’entre un mot de passe en clair et un mot de passe pseudo chiffré (car c’est bien de ça qu’il s’agit, à moins d’imposer à l’utilisateur de rentrer la clé de chiffrement à chaque utilisation), la différence ne mérite pas l’effort.

https://forum.filezilla-project.org/viewtopic.php?f=1&t=9543



.







Ouais. De toute façon, si il s’agit du protocole FTP, tout circule en clair (je parle pas de FTPS ou autre). Et le projet étant comment dire, open source, rien de plus facile que de reverser l’algo de chiffrement si il existait. Et sinon, il reste la rétro-ingénierie.



Plus largement, les applications sur le pc qui retiennent les mots de passe ne les chiffrent généralement pas. Et même quand c’est fait, au moment de recracher le mot de passe au site web, il faut bien qu’il ressorte en clair le vilain mot de passe.



Alors oui, le chiffrement peut arrêter le keke du dimanche qui veut lire le mot de passe, mais même le keke peut trouver des outils tout prêt pour le déchiffrer pour lui. Et les malwares intègrent les méthodes de déchiffrement, donc bon …



Hors mot de passe maitre….Mais bon, le mot de passe maitre ca fait suer les michus" />



L’important, c’est que le stockage soit sécurisé sur le serveur distant.

Khalev a écrit :



Ouch, je peux corriger 2-3 trucs?



+1 pour le FTP où tout passe en clair.

Cependant : pour stocker un mot de passe en général on le stock sous forme de hash. Or les algo de hash sont publiques, documentés et (censés être) non réversible. C’est à dire que si je te donne A et que l’algo te retourne B, si je te donne B tu ne peux pas retrouver A en prenant l’algo à l’envers.

Et en plus en général pour les mots de pass on y ajoute du sel (c’est à dire un nombre, connu du serveur seul que l’on mélange au mot de passe envoyé).

Du coup quand tu envoies A, le serveur va faire le hash de A+sel.

Donc même si tu sais que A=>B, si tu trouves que le hash de mon compte c’est B, ça ne veut pas dire que mon mdp est A.

L’intérêt du sel et d’éviter l’utilisation de “Rainbow table” qui sont des tables qui te donnent pour chaque B possible un A correspondant. Mais vu que le sel est sensé être unique à chaque serveur ça demanderait de regénérer la Rainbow table pour chaque sel existant. Ce qui devient impossible. (générer une rainbow table prend des années)

Et concernant le chiffrement des communications la sécurité repose sur la clé, pas sur l’algo. Idem les algos sont publiques, documentées & co, ce qui est important c’est la clé (privée pour les algo asymétriques). Dans certains cas très très particuliers on va utiliser des algos secret, mais en général c’est parce qu’il y a des limitations de ressources et que les algos publiques suffisamment léger sont déjà tous cassés.



C’est normal c’est en local et ça reste en local, si après tu es assez fou pour balancer ton mot de passe sur une connexion non-sécurisée, c’est pas la faute au porte-clés. Les portes-clés c’est très pratique pour éviter de retaper ses mots-de-passe. Les mdp maîtres ne sont utiles que pour empêcher la personne qui est à l’instant t sur ton PC d’accéder tout de suite à ton mdp. En fonction de où se situe le PC et du type de PC c’est pas déconnant de pas mettre de mdp maître.



Euh… si les chiffrements étaient si faciles à craquer crois-moi que l’e-commerce se serait cassé la gueule depuis longtemps au vu du nombre d’achats frauduleux qu’il y aurait. Les malwares se démerdent surtout pour chopper les clés où les données quand elles sont encore en clair (ou après qu’elles ait été déchiffrées).



L’important c’est que la chaîne entre ton PC et le serveur distant soit sécurisée. Si, au moment où les données arrivent à ta carte réseau, elles ne sont pas chiffrées tu peux les considérer comme corrompues (hors proxy chiffrant/vpn au niveau du routeur local).







Merci, je sais ce qu’est un hash, le chiffrement symétrique et asymétrique.

" />



Je sais aussi que pour bien faire il faut stocker des hash..

Sauf que là, on parle de stockage dans une appli client…



Tu sais très bien que le serveur qui t’identifie stocke un hash, et qu’il le compare a la version hashée du mdp que tu est bien obligé de fournir tel quel (sans parler du moyen de transmission, chiffré ou pas)

Et je parle pas du salage encore :)



Firefox chiffre peut etre les informations (ou pas, pas fouillé)



Ce que je sais, c’est que en tout cas c’est l’enfance de l’art de répliquer la manière dont FF décode les MDP pour les coller dans les formulaires des sites web. Parce que le navigateur DOIT les balancer en clair a un moment ou un autre, la méthode est reproductible logiciellement. Si password maitre il y a, c’est déjà autre chose " />



La dernière fois que j’ai regardé, dans cuteftp on avait des XOR tout bête, dans AceFtp (FtpExpert) c’est juste une permutation de caractères…



Quand à la comparaison avec le E-commerce, comment dire?

SSL c’est autrement plus complexe. Clef publique privée, clef de transaction jetable… ce qui est autrement plus complexe et surtout différent d’un mot de passe fixe. Pas spécialiste de la chose mais bon je pense pas trop me tromper que cela na vraiment rien, mais rien a voir.



Sécuriser une donnée (dans ce cas précis) sans intervention de l’utilisateur pour la déchiffrer (mot de passe, donnée autre), cela sous entend que le logiciel peut le faire tout seul, donc a priori qu’il connait la CLEF sans toi.



Bien entendu, si je me trompe ou que l’on me donne des contre exemples, je suis toujours interessé, je suis treeeeees loin d’avoir la science infuse " />

kikoo25 a écrit :



Bah non, dans les 2 cas on peut utiliser des algo bien costauds… Seulement, comme on a vu, soit le programme a la clé et du coup que l’algo soit costaud ou nul ça revient au même, soit le programme a pas la clé et alors faut se taper un mdp maître donc un peu inutile de stocker le mdp…





Ouais, je me suis mal exprimé " />



Je voulais dire que cela ne servait a rien, mais j’ai pensé aussi à la finalité (et au comment ca marche) du coup mon propos est confus.





Pardon aux familles " />