Comment font les sites pour renvoyer mdp par mail ?

Bonjour,

Je me pose une question.

Je suis en train de développer un site web amateur avec la gestion de membre. Je suis en train d'implémenter la fonction "changer le mot de passe". Mais sur beaucoup de site, il y a une fonction "mot de passe perdu".

Certaine de ces fonctions renouvellent tout simplement le mot de passe de l'utilisateur et le renvoie par mail => OK

Mais d'autres sites arrivent à renvoyer le mot de passe en clair :calim2: Une fois que le mot de passe est passé en md5(), il n'est pas censer être indécryptable ? Ils utilisent peut-être pas PHP mais le md5() est universel j'imagine.

Ce ne sont pas que des petits sites amateurs (jeuxvideo.com sans le citer :mrgreen:) qui font ca (au cas où le mot de passe pourrait être en clair dans la BDD ...).

Vous sauriez m'éclairer ? Ou des débuts de réponse ?

Merci d'avance.

Citation:

---

Envoyé par bob633

Mais d'autres sites arrivent à renvoyer le mot de passe en clair :calim2: Une fois que le mot de passe est passé en md5(), il n'est pas censer être indécryptable ? Ils utilisent peut-être pas PHP mais le md5() est universel j'imagine.

---

Qui te dit qu'ils l'ont passé en MD5 :roll:

A priori, si le même mot de passe est renvoyé en clair, c'est que celui-ci ne doit pas être crypté.
Cela m'étonnerait que le site s'amuse à faire une recherche en force pour trouver le mot de passe correspondant à celui crypté.

Salut,

Il y a deux solutions :
- Les mots de passes sont sauvegardés en clair.
- Les mots de passes sont cryptés, et non hashé.

Crypté veut dire que tu peux décryptés, hashé (comme le cas du md5) tu ne peux plus revenir en arrière.

Enfin moi un site qui me renvoie mon mot de passe en clair, j'ai déjà pas très confiance... ça veut dire que les développeurs peuvent connaître les mots de passe des membres en utilisant la fonction de décryptage.... ça veut dire qu'un pirate peut réussir à décrypter les mots de passes en effectuant une cryptanalyse...

Je préfère nettement un site qui me régénère un mot de passe, ou mieux qui m'envoie un lien sur ma boite mail pour changer mon mot de passe.

Bonne journée.

stealth35 > Oui je sais bien mais je voulais avoir d'autres avis car bon pour une des plus grosse communauté de jv, je trouvais ca abairant de laisser en clair ...

M'enfin ca confirme le fait que rien n'est crypté là dedans, enfin pas hasher comme dit avant.

Même si je me doutais qu'il n'y a aucun moyen de décrypter (sinon le md5 n'aurait aucun intérêt), je voulais en avoir le coeur net.

Citation:

---

Envoyé par bob633

stealth35 > Oui je sais bien mais je voulais avoir d'autres avis car bon pour une des plus grosse communauté de jv, je trouvais ca abairant de laisser en clair ...

M'enfin ca confirme le fait que rien n'est crypté là dedans, enfin pas hasher comme dit avant.

Même si je me doutais qu'il n'y a aucun moyen de décrypter (sinon le md5 n'aurait aucun intérêt), je voulais en avoir le coeur net.

---

Tu serais surpris du nombre de "gros" site qui sont codés avec les pieds ...

MD5 était sans doute une référence il y'a dix ans , c'est aujourd'hui déconseillé de l'utiliser notamment à cause des nombreuses rainbow table qui existe pour "brute forcer" des hash.
On lui préfère en général un hash à base de sha avec un grain de sel (salt) pour complexifier le tout.

Citation:

---

car bon pour une des plus grosse communauté de jv, je trouvais ca abairant de laisser en clair ...

---

Et qu'est-ce que tu crois qu'il s'est passé avec le PlayStation Network ? :no:

Citation:

---

Envoyé par grunk

Tu serais surpris du nombre de "gros" site qui sont codés avec les pieds ...

---

Pas mieux ! :aie:

On parlait justement de cela dans ce topic.

Après faut voir que le site dont tu parle n'est peut être pas récent et n'a pas été remis à jour depuis (très) longtemps. Anciennement c'était une pratique assez courante de renvoyer l'ancien mot de passe s'il était perdu. Et puis on a ensuite fait passer la sécurité comme critère prépondérant sur celui de la convivialité.