Discussion :

[gloumouth]

bonjour,

j'ai généré un fichier 'users' à l'aide de htpasswd sur une distribution ubuntu:

# htpasswd -c users username

pour le mot de passe de mon utilisateur 'username', c'est quelque chose comme:

# azertyu1234

le problème est que j'arrive à me connecter avec l'utilisateur en question en tapant des mots de passe erronés, comme par exemple:

# azertyu1
# azertyu1111
# azertyu1234567...

en revanche, avec les suivants, je me fais jeter:

# azertyu2
# azertyu2234

est-ce une faille connue de ce brave htpasswd? des idées? je n'ai rien trouvé à ce sujet en googlant..

merci pour votre aide!

[gorgonite]

ben le hashage n'est pas forcemment injectif...

[frp31]

quelque soit l'OS si ta configuration sécurité par défaut est un password de X caractères tout mot de passe de X caractères justes + autre chose passera tjrs puisque seul le nombre maximal de caractère con-tenable est testé.

[_solo]

pour le mot de passe de mon utilisateur 'username', c'est quelque chose comme:

# azertyu1234

le problème est que j'arrive à me connecter avec l'utilisateur en question en tapant des mots de passe erronés, comme par exemple:

# azertyu1
# azertyu1111
# azertyu1234567...

en revanche, avec les suivants, je me fais jeter:

# azertyu2
# azertyu2234

Abandonne ton outils et apprend a faire des htaccess avec tes dix doigts et un editeur de textes

ps j'ai mis en rouge et en vert pour que ce soit plus visible.

[gloumouth]

ben le hashage n'est pas forcemment injectif...

mais encore? si tu pouvais développer un poil gorgonite stp, j'apprecierais beaucoup!

[gorgonite]

mais encore? si tu pouvais développer un poil gorgonite stp, j'apprecierais beaucoup!

en gros, il est possible que plusieurs chaines de caractères est le même hash... donc en les comparant, on ne pourra pas faire la différence (la probabilité que ça arrive dépend de la graine servant à initialiser le hash)

mais vu les exemples que tu as donné, il est probable que frp31 ait donné la bonne réponse... en effet, on fait désormais des lectures bornées en taille, pour éviter les overflows

[gloumouth]

en gros, il est possible que plusieurs chaines de caractères aient le même hash... donc en les comparant, on ne pourra pas faire la différence (la probabilité que ça arrive dépend de la graine servant à initialiser le hash) mais vu les exemples que tu as donné, il est probable que frp31 ait donné la bonne réponse... en effet, on fait désormais des lectures bornées en taille, pour éviter les overflows

Merci pour ces infos.

Est-il alors possible de modifier la valeur/taille de cette graine afin de réduire la probabilité et sans dépasser la limite critique qui permettrait l'overflow?

[gorgonite]

Est-il alors possible de modifier la valeur/taille de cette graine afin de réduire la probabilité

ben tout dépend du système de hashage...
pour ceux utilisés par htpasswd, ça m'étonnerait. prends un hashage plus complexe

et sans dépasser la limite critique qui permettrait l'overflow?

les overflow, c'est pour les lectures lors de l'exécution... c'est un autre problème

[David.Schris]

"overflow"... on aura tout vu...

Personne n'a pensé à lancer htpasswd sans paramètre histoire de voir quelles étaient les options existantes et les valeurs par défaut ?

Essayez...

Alors ? Quel type de "hash" est produit par défaut ?
<insérez votre réponse ici>
Ca s'rait pas basé sur du DES par hasard ?
Et ça fonctionne comment ?
Le mot de passe est utilisé comme clé pour chiffrer une valeur connue (et pas l'inverse !).
Quelle est la longueur d'une clé DES ?
...
56 bits.
Soit : 8 caractères de 7 bits.

Voilà pour la limite.

Si vous avez des doutes sur ce qui précède, faites un :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

man 3 crypt

Comment avoir des mots de passe plus longs ?
Vous devriez trouver avec quelque-chose comme :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

htpasswd 2>&1 | grep encryption | grep -v '(default)'

[gorgonite]

"overflow"... on aura tout vu...

et pourquoi ?

tu ne saurais pas pourquoi on est passé de gets à fgets ???

Personne n'a pensé à lancer htpasswd sans paramètre histoire de voir quelles étaient les options existantes et les valeurs par défaut ?

le man htpasswd aurait répondu...

Alors ? Quel type de "hash" est produit par défaut ?
<insérez votre réponse ici>
Ca s'rait pas basé sur du DES par hasard ?
Et ça fonctionne comment ?
Le mot de passe est utilisé comme clé pour chiffrer une valeur connue (et pas l'inverse !).
Quelle est la longueur d'une clé DES ?
...
56 bits.
Soit : 8 caractères de 7 bits.

faux... le système de hashage par défaut dépend de l'OS sur lequel on génére son htpasswd (md5 ou crypt)

Comment avoir des mots de passe plus longs ?
Vous devriez trouver avec quelque-chose comme :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

htpasswd 2>&1 | grep encryption | grep -v '(default)'

ou changer de hashage...

-m Use MD5 encryption for passwords. On Windows, Netware and TPF, this is the default.

-d Use crypt() encryption for passwords. The default on all platforms but Windows, Netware and TPF. Though possibly supported by htpasswd on all platforms, it is not supported by the httpd server on Windows, Netware and TPF.

-s Use SHA encryption for passwords. Facilitates migration from/to Netscape servers using the LDAP Directory Interchange Format (ldif).

[David.Schris]

et pourquoi ?

tu ne saurais pas pourquoi on est passé de gets à fgets ???

Pourquoi ? Parce qu'il n'y a pas de rapport entre la limite imposée (sur la longueur de la clé) par un algorithme de chiffrement et un quelconque "overflow".
Tu peux utiliser fgets() autant que tu veux, DES sera toujours DES.

le man htpasswd aurait répondu...

Si tu veux jouer à ça, très bien : "htpasswd" est plus court à taper que "man htpasswd" (et cela fonctionne même quand tu n'as pas de pages "man")...

faux... le système de hashage par défaut dépend de l'OS sur lequel on génére son htpasswd (md5 ou crypt)

Dans quel forum se trouvent la question et ma réponse ?
Dans " Forum des développeurs > Général informatique > Linux & Développement pour Linux > Sécurité ".
Quel OS a été utilisé par le PO ?

j'ai généré un fichier 'users' à l'aide de htpasswd sur une distribution ubuntu

Quel "système de hashage" est utilisé par défaut sous Linux ?
Vérifions avec le code source de htpasswd :

Code C :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
    apr_file_printf(errfile, " -m  Force MD5 encryption of the password"
#if defined(WIN32) || defined(TPF) || defined(NETWARE)
        " (default)"
#endif
        "." NL);
    apr_file_printf(errfile, " -d  Force CRYPT encryption of the password"
#if (!(defined(WIN32) || defined(TPF) || defined(NETWARE)))
            " (default)"
#endif
            "." NL);
    apr_file_printf(errfile, " -p  Do not encrypt the password (plaintext)." NL);
    apr_file_printf(errfile, " -s  Force SHA encryption of the password." NL);

[gorgonite]

Pourquoi ? Parce qu'il n'y a pas de rapport entre la limite imposée (sur la longueur de la clé) par un algorithme de chiffrement et un quelconque "overflow".
Tu peux utiliser fgets() autant que tu veux, DES sera toujours DES.

on n'a pas du se comprendre... je parlais de la façon dont elle utilisée fgets dans la lecture du mot de passe saisi par l'utilisateur
par exemple, dans la fenêtre de son navigateur) ; et donc le fait que les mots de passe plus longs, ayant pour préfixe le mot de passe correct de longueur maximal, passent aussi

Quel OS a été utilisé par le PO ?
Quel "système de hashage" est utilisé par défaut sous Linux ?
Vérifions avec le code source de htpasswd :

une question sur htpasswd est assez classique... et il est bon que les utilisateurs, même s'ils passent 90% de leur temps sous Linux, sachent qu'en passant sous d'autre système, ils pourraient avoir un autre hashage
(d'expérience, c'est le genre de truc auquel on ne pense pas ; et qui prennent un temps fou à "débugger", car totalement illogique)

[David.Schris]

on n'a pas du se comprendre... je parlais de la façon dont elle utilisée fgets dans la lecture du mot de passe saisi par l'utilisateur
par exemple, dans la fenêtre de son navigateur) ; et donc le fait que les mots de passe plus longs, ayant pour préfixe le mot de passe correct de longueur maximal, passent aussi

La bonne blague...
Tu me trouves le code source d'un navigateur qui lit le mot de passe saisi par l'utilisateur dans une fenêtre en utilisant fgets() et j'accepterai de croire que tu es sérieux et non que tu essayes de t'en sortir par une pirouette. Marché conclu ?

une question sur htpasswd est assez classique... et il est bon que les utilisateurs, même s'ils passent 90% de leur temps sous Linux, sachent qu'en passant sous d'autre système, ils pourraient avoir un autre hashage

Je n'ai pas dit le contraire. J'ai seulement souligné le fait que nous étions, ici, dans un forum dédié à linux, que la question portait sur l'utilisation d'un programme compilé pour linux et utilisé sous linux. Ceci pour dire que ma réponse s'adressait à une personne ayant rencontré un problème avec un programme compilé pour linux, utilisé sous linux et ayant posé une question dans un forum dédié à linux... Et sous linux, puisqu'on en parle, le "système de hashage" par défaut avec le programme dont il est question est "CRYPT", c.à.d. : utilisation de la fonction "crypt()" qui, sous linux, utilise DES par défaut (je maintiens).

(d'expérience, c'est le genre de truc auquel on ne pense pas ; et qui prennent un temps fou à "débugger", car totalement illogique)

1) On y pense quand on lit l'aide avant d'utiliser le programme.
2) Ce n'est pas illogique (ex. : dans quelle DLL de Windows trouve-t-on une fonction "crypt()" compatible avec celle de linux ?).

[gorgonite]

La bonne blague...
Tu me trouves le code source d'un navigateur qui lit le mot de passe saisi par l'utilisateur dans une fenêtre en utilisant fgets() et j'accepterai de croire que tu es sérieux et non que tu essayes de t'en sortir par une pirouette. Marché conclu ?

tu es vraiment irrécupérable... je vais jeter l'éponge
je donnais un exemple qui montre pourquoi ça marche quand même !!!

1) On y pense quand on lit l'aide avant d'utiliser le programme.
2) Ce n'est pas illogique (ex. : dans quelle DLL de Windows trouve-t-on une fonction "crypt()" compatible avec celle de linux ?).

parce qu'il n'y a pas de DES sous windows ???
première nouvelle...

[Olivier Regnier]

tu es vraiment irrécupérable... je vais jeter l'éponge

On se calme les enfants, nous sommes pas sur un terrain de batailles. Si vous voulez jouer, vous allez voir dehors si j'y suis.

++