Administration – Programmation – Conserver les mots de passe en clair.

Posted on 23/06/2008 · Posted in Sécurité

Dernièrement, j'ai cédé à FaceBook, alors que je refusais de m'y inscrire, la tentation de voir à quoi cela ressemble fut trop forte.
Et c'est dans un élan de folie que je me lance dans l'inscription.

Allant un peu trop vite, je renseigne mal mon adresse mail – thomasthomas [at] hotmail.com à la place de thomastourlourat [at] hotmail.com.
C'est en me souvenant que dans les mails de confirmation, certains sites n'hésitent pas à vous afficher en clair votre mot de passe.

Cela soulève deux problèmes liés à la confidentialité de l'information.

Premièrement, thomasthomas [at] hotmail.com existe très probablement, quelqu'un aurai donc reçu mon mot de passe et aurai pu naviguer sur l'ensemble des sites en se faisant passer pour moi.
On entre donc dans l'usurpation d'identité.

Deuxièmement, le problème ne devrai même pas se poser, aucun programmeur ne doit enregistrer les mots de passe en clair dans une Base de données.
En effet, pourquoi conserver l'information brute quand on peut simplement conserver son Hash.

Dans un article précédant, je vous parlais du livre “Sécurité informatique” de Laurent Bloch, qui fait référence à l'intervention de Mr X sur les risques encourus à conserver les mots de passe en clair.
Pour résumer, en cas de litige entre l'administrateur et un utilisateur Lambda, ce dernier pourrai vous accuser d'usurper son identité.
De plus, les mots de passe en clair sont une cible pour les attaquants, ce qui amène l'administrateur à mettre des mesures de sécurité en passe. Alors que s'il n'y avait qu'un simple Hash, ce serai une table de base de données moins importante pour les pirates.

Pour conclure, j'ai été heureux de voir que FaceBook n'a pas affiché mon mot de passe dans l'email de confirmation, et que dans la configuration de mon compte sur leur site, il n'apparaît nul part.