[sécurité] Envoi de mot de passe [Résolu]

[tuttle]

Bonjour à tous

Je dispose d'un site Internet avec identifiant et mot de passe, je protège ca de manière classique : le mot de passe est envoyé en clair par un formulaire, je le crypte coté serveur en md5 et le compare avec le md5 déjà dans la base de données.

J'aimerai sécuriser un peu plus. J'ai vu l'article suivant :http://bob.developpez.com/phpauth/
Qui hash en md5 coté client pour éviter que le mot de passe se balade en clair. C'est mieux mais quelqu'un qui 'écoute' pourra toujours renvoyer le mot de passe haché pour s'identifier sans problème.

J'avais pensé à générer pour chaque session une clef aléatoire qui soit envoyée au client. Le client pouvait alors en javascript crypter son mot de passe et l'envoyer au serveur. Sur le serveur on décrypte le mot de passe avec la clef.
Ce qui me gène c'est que le javascript est facilement téléchargeable, on peut donc, toujours en 'écoutant', obtenir la clef, obtenir le code crypté et en déduire le mot de passe.
Il faudrait donc hacher en javascript pour empécher la reconstruction du mot de passe mais si la clef est aléatoire, à part stocker un sacré paquet de mots de passes hachés dans la base, je vois pas comment faire.

Quelqu'un se serait déjà penché sur le problème ? Ou connaitrait un site qui parle de ça. J'ai beau chercher mais je ne trouve rien de très probant ?

Merci beaucoup !

[Maxoo]

tu as un excellent sujet à lire ici : [Sécurité] [Login membre] Sécurité TOTALE !!!

d'ailleurs tu as de bonnes bases tu devrais tout comprendre, ce qui t'interesse est vers la fin, si je me souviens bien.

[tuttle]

Merci Maxoo !

Programmant en Asp.net, je n'avais pas vu le forum Sécurité dans php, mais ce post est parfait !