Version imprimable
Bonjour
Pour des raisons de modifications, j'aimerais pouvoir stocker les mots de passes de mes utilisateurs qui sont connectés dans une variable session. Bien sur, les mots de passes sont encryptés en SHA256 avec la fonction hash().
J'aimerais savoir si le risque des très grand que quelqu'un puisse hacké la session et trouver le mot de passe?
Merci
Salut,
Si le risque est très grand, je ne sais pas mais le risque existe.
Maintenant par rapport à ta question il faut se demander de l'utilité de hasher les mots de passe.
Je dis cela car si tu hash les mdps dans la base de données mais pas dans la session (j'ai pas réfléchit aux impacts possible, c'est un exemple fictif...) et que le hacker arrive à lire ta session, le hash n'a servit à rien.
Dans la même veine si tu comptes faire simplement cela : $empreinte_mot_de_passe = sha1( "fdsfsdfsfdsf" );
c'est, tout à fait inutile. de la poudre aux yeux par excellence car sha(e) ne varie jamais.
Pour cela palier il faut que tu regardes du coté du grain de sel ou salt.
Sujet traités à foison sur le forum et sur google en général.
a plus
En fait, le mot de passe dans la BD est crypté hash('sha256',$password) et celui que je stockerai dans la session aussi. La seule raison que je fais ca c'est pour que, si l'utilisateur modifie le mot de passe, que je puisse le comparer sans avoir à faire une requête additionnelle dans la BD.
Oué mais si tu fais simplement
hash('sha256',$password)
C'est complètement inutile. Il suffit de générer un dictionnaire d'empreinte et de le comparer à l'empreinte du mdp pour le retrouver.
Si tu veux que ce soit un peu plus galère à cracker, fais le ainsi :
hash('sha256',$password.'un salt que j'ai envie d'utiliser parce qu'il me plait....')
Donc déjà la le mec si il veut péter ton empreinte il a intérêt à en générer du dictionnaire...
Après il y à bien quelques mécanismes pour accélérer le crackage de l'empreinte, avec ou sans dico, mais c'est de la crypto de très haut vol. Et les mecs qui ont ce genre de connaissance n'ont que foutre de ton site web :aie:
a +
Mouais ça t'as raison lol :)
Mais ce grain de sel j'aime bien! Merci :king: