Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Développement Développement Langage C Sharp Authentification et sécurité

Authentification et sécurité

14 réponses
Avatar
Elo
Bonjour,

Je voudrais avoir quelques conseils concernant la=20
s=E9curit=E9, et les moyens d'authentifier mes utilisateurs.
Je pensais stocker les mots de passe ainsi que les logins=20
dans une table de ma base sql server.

Concernant l'acc=E8s =E0 l'administration, vu qu'il y a un=20
lien dans la partie publique, je demandera au passage le=20
login et le passwd, mais sur certaines pages en public je=20
propose de t=E9l=E9charger les articles, et je voudrais qu'un=20
utilisateur soit oblig=E9 de s'authentifier pour pouvoir=20
t=E9l=E9charger (pour gerer des historiques)...

Dans un livre su le c#, j'ai lu qu'on pouvait utiliser la=20
lcasse NetworkCredential.

Est-ce que quelqu'un aurait des liens, des codes sources=20
ou des conseils ?

Merci d'avance.

Elo
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
Patrice Manac'h
Bonjour,

un article d'introduction à la sécurité :
http://msdn.microsoft.com/msdnmag/issues/02/04/ASPSec/default.aspx

Et ne stocker pas le mot mais plutôt un hash de ce mot de passe. Ainsi, vous
ne comparerez que des hash et il n'y a pas de stockage ou de décryptage du
mot de passe...

Cordialement,

P. Manac'h
MCS France

"Elo" a écrit dans le message de
news:215b301c45a98$4c0fa8c0$
Bonjour,

Je voudrais avoir quelques conseils concernant la
sécurité, et les moyens d'authentifier mes utilisateurs.
Je pensais stocker les mots de passe ainsi que les logins
dans une table de ma base sql server.

Concernant l'accès à l'administration, vu qu'il y a un
lien dans la partie publique, je demandera au passage le
login et le passwd, mais sur certaines pages en public je
propose de télécharger les articles, et je voudrais qu'un
utilisateur soit obligé de s'authentifier pour pouvoir
télécharger (pour gerer des historiques)...

Dans un livre su le c#, j'ai lu qu'on pouvait utiliser la
lcasse NetworkCredential.

Est-ce que quelqu'un aurait des liens, des codes sources
ou des conseils ?

Merci d'avance.

Elo
Avatar
Elo
Je vous remercie pour les infos.
Par contre, pourquoi dites vous que je ne dois pas
qtocker dans la base de données "le mot mais plutôt un
hash" ? Comment je fais pour vérifier le bon mot de passe
dans ce cas là ?

J'ai vu dans la doc de msdn que dans le web.config on
peut déterminer le type d'authetification, en faisaint
par exemple : <authentication mode="Windows" />
Est-il possible de dire que pour certains fichiers
(partie public) on peut y accéder librement, alors que
d'autres (administration) il faut un passwd, en
déterminant ces critères dans le web.config ?

Merci.

Elo

-----Message d'origine-----
Bonjour,

un article d'introduction à la sécurité :
http://msdn.microsoft.com/msdnmag/issues/02/04/ASPSec/def


ault.aspx

Et ne stocker pas le mot mais plutôt un hash de ce mot


de passe. Ainsi, vous
ne comparerez que des hash et il n'y a pas de stockage


ou de décryptage du
mot de passe...

Cordialement,

P. Manac'h
MCS France

"Elo" a écrit dans


le message de
news:215b301c45a98$4c0fa8c0$
Bonjour,

Je voudrais avoir quelques conseils concernant la
sécurité, et les moyens d'authentifier mes utilisateurs.
Je pensais stocker les mots de passe ainsi que les logins
dans une table de ma base sql server.

Concernant l'accès à l'administration, vu qu'il y a un
lien dans la partie publique, je demandera au passage le
login et le passwd, mais sur certaines pages en public je
propose de télécharger les articles, et je voudrais qu'un
utilisateur soit obligé de s'authentifier pour pouvoir
télécharger (pour gerer des historiques)...

Dans un livre su le c#, j'ai lu qu'on pouvait utiliser la
lcasse NetworkCredential.

Est-ce que quelqu'un aurait des liens, des codes sources
ou des conseils ?

Merci d'avance.

Elo


.



Avatar
Patrice Manac'h
Bonjour,

lorsque vous stocker un hash, et que l'utilisateur se reloggue, vous avez la
possiblité de hasher de nouveau le mot de passe et de comparer les hash. Si
la fonction est bien choisie, deux hash identiques = 2 mots de passe
identique. Exemple :
http://www.aspnetpro.com/NewsletterArticle/2003/11/asp200311pj_l/asp200311pj_l.asp

Et pour le seconde question, la réponse est oui :
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnnetsec/html/SecNetHT04.asp

Cet exemple ne montre qu'un seul module authorization pour la racine. Mais
vous pouvez en avoir plusieurs pour divers path.

Cordialement,

P. Manac'h
MCS France

"Elo" a écrit dans le message de
news:216d601c45aac$243f75f0$
Je vous remercie pour les infos.
Par contre, pourquoi dites vous que je ne dois pas
qtocker dans la base de données "le mot mais plutôt un
hash" ? Comment je fais pour vérifier le bon mot de passe
dans ce cas là ?

J'ai vu dans la doc de msdn que dans le web.config on
peut déterminer le type d'authetification, en faisaint
par exemple : <authentication mode="Windows" />
Est-il possible de dire que pour certains fichiers
(partie public) on peut y accéder librement, alors que
d'autres (administration) il faut un passwd, en
déterminant ces critères dans le web.config ?

Merci.

Elo

-----Message d'origine-----
Bonjour,

un article d'introduction à la sécurité :
http://msdn.microsoft.com/msdnmag/issues/02/04/ASPSec/def


ault.aspx

Et ne stocker pas le mot mais plutôt un hash de ce mot


de passe. Ainsi, vous
ne comparerez que des hash et il n'y a pas de stockage


ou de décryptage du
mot de passe...

Cordialement,

P. Manac'h
MCS France

"Elo" a écrit dans


le message de
news:215b301c45a98$4c0fa8c0$
Bonjour,

Je voudrais avoir quelques conseils concernant la
sécurité, et les moyens d'authentifier mes utilisateurs.
Je pensais stocker les mots de passe ainsi que les logins
dans une table de ma base sql server.

Concernant l'accès à l'administration, vu qu'il y a un
lien dans la partie publique, je demandera au passage le
login et le passwd, mais sur certaines pages en public je
propose de télécharger les articles, et je voudrais qu'un
utilisateur soit obligé de s'authentifier pour pouvoir
télécharger (pour gerer des historiques)...

Dans un livre su le c#, j'ai lu qu'on pouvait utiliser la
lcasse NetworkCredential.

Est-ce que quelqu'un aurait des liens, des codes sources
ou des conseils ?

Merci d'avance.

Elo


.



Avatar
LEBRUN Thomas
>> Par contre, pourquoi dites vous que je ne dois pas
qtocker dans la base de données "le mot mais plutôt un
hash"





Tout simplement aprce que cela t'evite d'avoir le vrai mot de passe (en clair ou en crypté) dans ta bas

Comment je fais pour vérifier le bon mot de passe
dans ce cas là





Simple : dans ta abse, tu as le hash du mot de passe. Et bien, au moment de l'identification ,tu récupère le hash du mot
de passe entré par l'utilisateur et tu le compares avec celui de la base

Tom.
Avatar
Elo
Merci à tous les deux pour les précisions.
Je crois que je visualise un peu mieux les différences
manières d'authentifier quelqu'un et de gérer les
autorisations... Mais c'est vrai que c'est une question
assez complexe et assez vaste je trouve.
Merci pour votre aide.

Elo.

-----Message d'origine-----
Par contre, pourquoi dites vous que je ne dois






pas
qtocker dans la base de données "le mot mais






plutôt un
hash" ?





Tout simplement aprce que cela t'evite d'avoir le vrai


mot de passe (en clair ou en crypté) dans ta base


Comment je fais pour vérifier le bon mot de passe
dans ce cas là ?





Simple : dans ta abse, tu as le hash du mot de passe. Et


bien, au moment de l'identification ,tu récupère le
hash du mot
de passe entré par l'utilisateur et tu le compares avec


celui de la base.

Tom.
.



Avatar
LEBRUN Thomas
Si je peux me permettre un ajout : c'est non seulement une question complexe, mais également une question très importante (ainsi que tout se qui touche à la sécurité) pour les applications nécessitant une quelquonque protection

Tom


----- Elo a écrit : ----

Merci à tous les deux pour les précisions
Je crois que je visualise un peu mieux les différences
manières d'authentifier quelqu'un et de gérer les
autorisations... Mais c'est vrai que c'est une question
assez complexe et assez vaste je trouve
Merci pour votre aide

Elo

>-----Message d'origine----
>>> Par contre, pourquoi dites vous que je ne dois
pas
>>> qtocker dans la base de données "le mot mais
plutôt un
>>> hash"
>>Tout simplement aprce que cela t'evite d'avoir le vrai
mot de passe (en clair ou en crypté) dans ta bas
>>>>> Comment je fais pour vérifier le bon mot de passe
>>> dans ce cas lÃ
>>Simple : dans ta abse, tu as le hash du mot de passe. Et
bien, au moment de l'identification ,tu récupère le
hash du mot
>de passe entré par l'utilisateur et tu le compares avec
celui de la base
>> Tom
>
>
Avatar
kBz
si tu as une appli reseau pense a acher le mot de passe coté client comme ca
tu fais passer le hash sur le réseau et non pas le mdp !

"Elo" a écrit dans le message de
news:2176101c45ab8$7c8f39a0$
Merci à tous les deux pour les précisions.
Je crois que je visualise un peu mieux les différences
manières d'authentifier quelqu'un et de gérer les
autorisations... Mais c'est vrai que c'est une question
assez complexe et assez vaste je trouve.
Merci pour votre aide.

Elo.

-----Message d'origine-----
Par contre, pourquoi dites vous que je ne dois






pas
qtocker dans la base de données "le mot mais






plutôt un
hash" ?





Tout simplement aprce que cela t'evite d'avoir le vrai


mot de passe (en clair ou en crypté) dans ta base


Comment je fais pour vérifier le bon mot de passe
dans ce cas là ?





Simple : dans ta abse, tu as le hash du mot de passe. Et


bien, au moment de l'identification ,tu récupère le
hash du mot
de passe entré par l'utilisateur et tu le compares avec


celui de la base.

Tom.
.



Avatar
Vincent Lascaux
> si tu as une appli reseau pense a acher le mot de passe coté client comme


ca
tu fais passer le hash sur le réseau et non pas le mdp !



C'est mieux (dans le cas où le mot de passe est utilisé à plusieurs
endroits), mais pas suffisant : si on intercepte le hash (au lieu du mot de
passe), on peut quand même se logger (en envoyant bêtement le hash).

--
Vincent
Avatar
kBz
ben c sur mais, je me dit une fois que j'ai mon hash qui ai passé sur le
rezo, je peus pas me logger car ma fenetre de log me demande le mdp & pas le
hash car si je rentre le hash ca hash le hash ... ca fais un gros steak
hasché !

bref ce n'était pas drole !

:)

bon c sur ke c pas du 100% cq on as pas encore inventé de capote pour les
prises RJ :):)
"Vincent Lascaux" a écrit dans le message de
news:40ddde3e$0$8183$
> si tu as une appli reseau pense a acher le mot de passe coté client


comme
ca
> tu fais passer le hash sur le réseau et non pas le mdp !

C'est mieux (dans le cas où le mot de passe est utilisé à plusieurs
endroits), mais pas suffisant : si on intercepte le hash (au lieu du mot


de
passe), on peut quand même se logger (en envoyant bêtement le hash).

--
Vincent




Avatar
kBz
mais je concois qu'avec le hash & telnet on puisse faire beaucoup !
"kBz" a écrit dans le message de
news:40ddf3c7$0$8186$
ben c sur mais, je me dit une fois que j'ai mon hash qui ai passé sur le
rezo, je peus pas me logger car ma fenetre de log me demande le mdp & pas


le
hash car si je rentre le hash ca hash le hash ... ca fais un gros steak
hasché !

bref ce n'était pas drole !

:)

bon c sur ke c pas du 100% cq on as pas encore inventé de capote pour les
prises RJ :):)
"Vincent Lascaux" a écrit dans le message de
news:40ddde3e$0$8183$
> > si tu as une appli reseau pense a acher le mot de passe coté client
comme
> ca
> > tu fais passer le hash sur le réseau et non pas le mdp !
>
> C'est mieux (dans le cas où le mot de passe est utilisé à plusieurs
> endroits), mais pas suffisant : si on intercepte le hash (au lieu du mot
de
> passe), on peut quand même se logger (en envoyant bêtement le hash).
>
> --
> Vincent
>
>




1 2