Posté par Amiralgaby .
Évalué à 3.
Dernière modification le 20 janvier 2023 à 12:53.
Mot de passe en clair dans les bases de données des clients (qui sont des entreprises)
Je pige même pas pourquoi les clients n'ont pas demandés comment sont stockés leur informations. Tant que c'est persisté ça leur correspond.
Il y a une utilité à tout ça, c'est qu'on peut se connecter au logiciel sans avoir à leur demander leur mot de passe ;)
[Édit] mon patron à voulu que quand un utilisateur clique sur "mot de passe oublié" ça lui envoie un mot de passe par email (évidemment uniquement s'il existe en bdd). Pourquoi c'est une mauvaise idée ?
Posté par gUI (Mastodon) .
Évalué à 3.
Dernière modification le 20 janvier 2023 à 13:51.
Pourquoi c'est une mauvaise idée ?
Perso je trouve pas, j'ai d'ailleurs déjà utilisé certains sites qui marchent comme ça il me semble (tu reçois ton mdp temporaire et à la première connexion on t'invite à le changer).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Posté par aiolos .
Évalué à 5.
Dernière modification le 20 janvier 2023 à 14:45.
En fait, si c'est une mauvaise idée : si tu peux renvoyer le mot de passe, c'est que tu peux les retrouver, donc qu'ils sont au mieux chiffrés, alors que si tu respectes la bonne pratique qui consiste à stocker les mots de passe hachés-salés tu ne peux pas renvoyer le mot de passe puisque tu ne peux pas le retrouver.
En revanche, envoyer un nouveau mot de passe en clair qui doit être changé à la première connexion n'est pas horrible, même s'il vaut mieux envoyer un token qui expirera au bout d'un certain temps.
[edit] il a été corrigé renvoyer le mot de passe en envoyer un mot de passe. Donc seule la remarque sur l'expiration est valide. Et le fait de le faire changer à la première connexion.
C'est pour ça que j'ai dit à mon patron qu'il faut faire en sorte de hacher les mots de passe.
La stratégie de mon patron n'était pas de renvoyer le mot de passe actuel mais d'en générer un de manière aléatoire (fort) pour éviter que les utilisateurs mettent des mots de passe faible.
Mais comme c'est moi qui à forcer, j'ai fais en sorte de généré un token et envoyer un lien pour changer son mot de passe.
Par contre j'ai pas encore mis de pré-requis, les utilisateurs peuvent mettre "test". Heureusement que les navigateurs peuvent proposer des mots de passe aléatoire.
Si l'on force le changement de mdp et qu'il est uniquement généré à la volé lors de l'envoie du mail ce n'est pas déconnant.
J'ai déjà croisé des site ou tu n'avais pas mdp, tu rentrais ton adresse mail, ils t'envoient un lien sécurisé sur la boite mail et c'est tout. Le lien avait bien évidemment une durée de validité courte.
Actuellement j'ai choisi cette stratégie plutôt que d'envoyer le mot de passe généré à la volé.
Il y a du bon dans l'envoi de mot de passe sur boîte mail car ça évite à l'utilisateur de choisir un mot de passe mauvais (je devrais développer un petit statut d'entropie pour que les utilisateurs se force à faire de bon mot de passe dans notre logiciel et les site web des clients).
# qui dit mieux ?
Posté par Amiralgaby . Évalué à 3. Dernière modification le 20 janvier 2023 à 12:53.
Mot de passe en clair dans les bases de données des clients (qui sont des entreprises)
Je pige même pas pourquoi les clients n'ont pas demandés comment sont stockés leur informations. Tant que c'est persisté ça leur correspond.
Il y a une utilité à tout ça, c'est qu'on peut se connecter au logiciel sans avoir à leur demander leur mot de passe ;)
[Édit] mon patron à voulu que quand un utilisateur clique sur "mot de passe oublié" ça lui envoie un mot de passe par email (évidemment uniquement s'il existe en bdd). Pourquoi c'est une mauvaise idée ?
Amiralgaby#1847
[^] # Re: qui dit mieux ?
Posté par pamputt . Évalué à 5.
https://www.commitstrip.com/fr/2018/03/22/basic-functionality/?
[^] # Re: qui dit mieux ?
Posté par gUI (Mastodon) . Évalué à 3. Dernière modification le 20 janvier 2023 à 13:51.
Perso je trouve pas, j'ai d'ailleurs déjà utilisé certains sites qui marchent comme ça il me semble (tu reçois ton mdp temporaire et à la première connexion on t'invite à le changer).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: qui dit mieux ?
Posté par aiolos . Évalué à 5. Dernière modification le 20 janvier 2023 à 14:45.
En fait, si c'est une mauvaise idée : si tu peux renvoyer le mot de passe, c'est que tu peux les retrouver, donc qu'ils sont au mieux chiffrés, alors que si tu respectes la bonne pratique qui consiste à stocker les mots de passe hachés-salés tu ne peux pas renvoyer le mot de passe puisque tu ne peux pas le retrouver.
En revanche, envoyer un nouveau mot de passe en clair qui doit être changé à la première connexion n'est pas horrible, même s'il vaut mieux envoyer un token qui expirera au bout d'un certain temps.
[edit] il a été corrigé renvoyer le mot de passe en envoyer un mot de passe. Donc seule la remarque sur l'expiration est valide. Et le fait de le faire changer à la première connexion.
[^] # Re: qui dit mieux ?
Posté par Amiralgaby . Évalué à 2.
C'est pour ça que j'ai dit à mon patron qu'il faut faire en sorte de hacher les mots de passe.
La stratégie de mon patron n'était pas de renvoyer le mot de passe actuel mais d'en générer un de manière aléatoire (fort) pour éviter que les utilisateurs mettent des mots de passe faible.
Mais comme c'est moi qui à forcer, j'ai fais en sorte de généré un token et envoyer un lien pour changer son mot de passe.
Par contre j'ai pas encore mis de pré-requis, les utilisateurs peuvent mettre "test". Heureusement que les navigateurs peuvent proposer des mots de passe aléatoire.
Amiralgaby#1847
[^] # Re: qui dit mieux ?
Posté par Mimoza . Évalué à 4.
Si l'on force le changement de mdp et qu'il est uniquement généré à la volé lors de l'envoie du mail ce n'est pas déconnant.
J'ai déjà croisé des site ou tu n'avais pas mdp, tu rentrais ton adresse mail, ils t'envoient un lien sécurisé sur la boite mail et c'est tout. Le lien avait bien évidemment une durée de validité courte.
[^] # Re: qui dit mieux ?
Posté par Amiralgaby . Évalué à 1.
Actuellement j'ai choisi cette stratégie plutôt que d'envoyer le mot de passe généré à la volé.
Il y a du bon dans l'envoi de mot de passe sur boîte mail car ça évite à l'utilisateur de choisir un mot de passe mauvais (je devrais développer un petit statut d'entropie pour que les utilisateurs se force à faire de bon mot de passe dans notre logiciel et les site web des clients).
Amiralgaby#1847
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.