Le hachage des mots de passe
Pourquoi on hache au lieu de chiffrer ; sel, table arc-en-ciel, fonctions lentes (bcrypt, scrypt, Argon2) et facteur de coût ; vérifier un mot de passe ; ce qu'il ne faut jamais faire.
- 25 cartes
- 5 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Les chiffres
- Mises en situation
Quelques cartes du deck
Hachage de mot de passe : de quoi s'agit-il ?
Voir la réponse
Calcul à sens unique qui transforme un mot de passe en empreinte, seule valeur conservée par le serveur.
Impossible de retrouver le mot de passe depuis l'empreinte : si la base fuit, l'attaquant n'a pas les mots de passe, seulement de quoi les deviner un par un.
Un site stocke le MD5 des mots de passe. La base fuit. Pourquoi est-ce grave, bien que MD5 ne soit pas réversible ?
- MD5 est si rapide que l'attaquant teste des milliards d'essais par seconde
- MD5 se déchiffre avec une clé que l'attaquant retrouve facilement dans la base volée
- MD5 produit des empreintes trop courtes pour pouvoir contenir un mot de passe complet
- MD5 donne la même empreinte à tous les mots de passe de même longueur
Voir la réponse
MD5 est si rapide que l'attaquant teste des milliards d'essais par seconde
Un hachage rapide laisse deviner les mots de passe courants en quelques secondes ; sans sel, une simple table précalculée suffit. Par exemple, MD5 de « password » vaut toujours 5f4dcc3b5aa765d61d8327deb882cf99.
On … un mot de passe au lieu de le chiffrer, car un chiffrement se … avec la clé, alors qu'un hachage ne peut pas être inversé.
Voir la réponse
On hache un mot de passe au lieu de le chiffrer, car un chiffrement se déchiffre avec la clé, alors qu'un hachage ne peut pas être inversé.
Un mot de passe chiffré suppose une clé, qui fuit avec la base ou est volée avec elle. Le serveur n'a jamais besoin de relire le mot de passe : il lui suffit de comparer des empreintes.
Sel : de quoi s'agit-il ?
Voir la réponse
Valeur aléatoire propre à chaque utilisateur, ajoutée au mot de passe avant le hachage et conservée avec l'empreinte.
Deux mots de passe identiques donnent deux empreintes différentes, et un calcul fait d'avance ne sert plus à tous les comptes. Le sel n'est pas un secret.