[PHP 5.3] Hash de mots de passes et la fonction "Mot de passe perdu" [Résolu]

[chok371]

Bonjour,

J'ai lu ce tutoriel : http://guillaume-affringue.developpe...rement/?page=3

On y apprend comment crypter un mot de passe notamment avec la technique du grain de sel.
C'est bien mais comment aider un utilisateur qui perd son mot de passe ? Vous savez la fonction "Mot de passe perdue" qu'on retrouve dans beaucoup de sites / forums.
Est ce qu'il est possible de lui généré une version décryptée de son mot de passe sans que cela porte atteinte à la sécurité ?

Merci.

[Seb33300]

En général, La fonction "Mot de passe perdu" ne se contente que de générer un nouveau mot de passe et l'envoyer par mail.

Si on décrypte le mot de passe, une personne tierce aillant réussie à avoir accès au compte mail de la personne à qui appartient le compte pourrait récupérer le véritable mot de passe via le décryptage.

Mot de passe qui est susceptible d’être réutilisé ailleurs.

[greg91]

Hello,

Est ce qu'il est possible de lui généré une version décryptée de son mot de passe sans que cela porte atteinte à la sécurité ?

Non impossible

Comme le dis Seb33300 le seul moyen est de remplacer le mot de passe.

Exemple de processus :

• Formulaire demandant l'adresse mail du compte
• Si le mail existe en BDD tu génère un password et une chaîne de validation (longue) aléatoire
• tu met dans la DB ce mot de passe (Sans remplacer l'actuel) et la chaîne aléatoire
• Envoi d'un mail avec le nouveau mot de passe et un lien de confirmation. Dans ce lien il y a la longue chaîne de validation en paramètre.
• Quand l’utilisateur clique sur le lien, tu remplace le mot de passe par celui généré aléatoirement.

[chok371]

Merci pour ces bonnes idées.