Discussion :

[Fooshi]

Bonjour,
je suis en train de code une gestion de client, dans ma base de donnée mes mots de passe sont codés en md5 pour plus de sécurité mais comment retrouver le mot de passe en clair par la suite si l'utilisateur a perdu son mot de passe ?
merci d'avance

[Benjamin Delespierre]

Il faut le stocker en clair ailleurs, md5 ne te permet pas de décrypter.

[grunk]

MD5 est un hash pas un cryptage , il n'est donc pas réversible.

Dans la pratique ce n'est pas tout à fait vrai puisqu'il existe des grosse BDD avec de multiple correspondance (rainbow table).

Il faut donc regénérer un nouveau mot de passe

[s.n.a.f.u]

Il faut donc regénérer un nouveau mot de passe

+1

Tu n'as pas à le retrouver, c'est le but du hash : que même une personne avec un accès à la base ne connaisse pas ton mot de passe.

Lorsqu'un mot de passe est stocké en clair, il s'agit pour moi d'un problème de sécurité : beaucoup de personnes utilisent les mêmes mots de passe pour leur email, leur compte bancaire, etc...
Ce qui veut dire que si tu as accès à la base de données tu peux essayer de cracker la cyber identité de la personne.

Pour info par exemple, materiel.net stocke en clair. Je trouve ça honteux. J'ai eu beau leur signaler, ils continuent visiblement cette pratique.

Un test simple : si tu as oublié ton mot de passe et que l'on peut te le renvoyer par mail, alors c'est foutu.

[grunk]

Un test simple : si tu as oublié ton mot de passe et que l'on peut te le renvoyer par mail, alors c'est foutu.

C'est pas forcément vrai , il peut très bien être crypté. Un mot de passe en AES ou en SHA ca se vaut tant que la clé de l'AES n'est pas compromise

[s.n.a.f.u]

C'est pas forcément vrai , il peut très bien être crypté. Un mot de passe en AES ou en SHA ca se vaut tant que la clé de l'AES n'est pas compromise

Vu de l'extérieur, oui.
Mais le simple fait qu'un développeur en interne puisse consulter tes mots de passe signifie qu'ils peuvent être compromis.

[manticore]

+1 snafu

je suis complétement d'accord avec moi, je ne supporte pas le fait qu'un site détiennent mes mots de passes. Même en utilisant un cryptage symétrique, si le site est compromis ton mot de passe l'est aussi.

Il faut absoluement utiliser une fonction de hachage forte pour stocker ces mots de passes.

Et il serait mieux de passer en sha256-sha512 plutot que du md5 qui n'assure plus une protection suffisante à mon goût