Discussion :

[khamett]

Bonjour,

je souhaite protéger l'accès à mon appli.

Je me tourne vers la hashage (SHA et ses variantes) qui m'a l'air d'une méthode facile à mettre en oeuvre.


J'ai donc plusieurs questions:

- par sécurité je souhaiterais éviter de stocker le mdp hashé dans le code. Comment puis-je faire ? Je pensais stocker une partie dans le app.config par exemple mais celui ci est visible par tous une fois l'appli installée ??

- si une personne mal intentionnée recuperais le code de hashage, lui est-il possible de récuper le texte original ??

Merci d'avance

Kirk

[bidou]

oui dans app.config c'est accessible à tous, généralement on essaye de le cacher dans un autre fichier

Non on ne peut pas remonter à la valeur non hashée en partant de la valeur hashée

[khamett]

Merci pour cette réponse rapide...

Donc ca ne pose pas de soucis de laisser la valeur hashée directement dans ma page de code...

Car j'ai vu des codes qui par soucis de sécurité, incorporait une boucle qui hashé plusieurs fois de suite le résultats... Inutile alors ??

Merci

Sinon, y 'aurait il qq chose de mieux pour ptoteger mon appli que le hashae, mais tout aussi simple à mettre en oeuvre ??

Combien de temps il faudsrait pour casser un code de hashage type sha-1, sha256, sha-384 ou sha-512 ???

[bidou]

Tout est question de scénario. Si l'application doit fonctionner sur certains postes avec certains compte tu n'as pas intérêt à mettre le mot hashé dans le code mais plutôt sur le(s) poste(s) où il sera couvert au moins partiellement par les ACL. Si ton appli est installable partout, ou tu le met dans le code et il ne sera pas protégé, ou tu le met dans un fichier externe avec des leurres ce qui sera un peu mieux.
Boucler plusieurs fois permet juste de ralentir l'attaquant puisqu'il est obligé de rajouter les boucles en cas d'attaque par la force.

Sinon, y 'aurait il qq chose de mieux pour ptoteger mon appli que le hashae, mais tout aussi simple à mettre en oeuvre ??

Tout va dépendre du scénarion donc

Combien de temps il faudsrait pour casser un code de hashage type sha-1, sha256, sha-384 ou sha-512 ???

Ca va dépendre de la qualité du mot de passe, si c'est "toto" ca va prendre 10 minutes, si c'est "vhfdh+9674!n;:gj:!gùihyKR£KH.3547453QHhsh*ù$^^" ca prendra un siècle