Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Si l'attaquant peut prendre possession des mails, on ne peut rien y
faire, la victime est dans son tort.
Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Si l'attaquant peut prendre possession des mails, on ne peut rien y
faire, la victime est dans son tort.
Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Si l'attaquant peut prendre possession des mails, on ne peut rien y
faire, la victime est dans son tort.
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
Bonjour à tous,
Dans le cadre de la refonte d'un site en PHP/mysql, je dois ajouter la
fonctionnalité Mot de passe oublié sur l'accès à un espace membre.
[...]
Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
bah, avec un grain de sel secret pour chaque utilisateur, je vois pas le
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Je mettrais une contrainte unique (not null implicite) sur le champ
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
Avez-vous des idées ou des liens pour résoudre ce problème?
Bonjour à tous,
Dans le cadre de la refonte d'un site en PHP/mysql, je dois ajouter la
fonctionnalité Mot de passe oublié sur l'accès à un espace membre.
[...]
Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
bah, avec un grain de sel secret pour chaque utilisateur, je vois pas le
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Je mettrais une contrainte unique (not null implicite) sur le champ
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
Avez-vous des idées ou des liens pour résoudre ce problème?
Bonjour à tous,
Dans le cadre de la refonte d'un site en PHP/mysql, je dois ajouter la
fonctionnalité Mot de passe oublié sur l'accès à un espace membre.
[...]
Le sgbd contient le login, et le hashage sha1 du mot de passe (oui, oui,
je sais que John G. n'est pas pour, mais c'est déjà stocké comme ca...).
bah, avec un grain de sel secret pour chaque utilisateur, je vois pas le
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Or, comme les adresses email figurent aussi dans des messages sur le
site, j'ai peur qu'un petit malin ne s'amuse à changer les mots de passe
des autres. Bien sur, les membres recevront leur nouveau mot de passe,
mais ils risquent de se lasser de les modifier si cela se reproduit.
Je mettrais une contrainte unique (not null implicite) sur le champ
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
Avez-vous des idées ou des liens pour résoudre ce problème?
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
Et il en fera quoi le webmaster ? Il déposera une plainte au BEFTI pour
tentative d'intrusion dans un SI ?
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
Et il en fera quoi le webmaster ? Il déposera une plainte au BEFTI pour
tentative d'intrusion dans un SI ?
"La récupération du mot de passe a été demandée le 13/08/2007 à 15:59
par l'IP 255.255.255.255 ... Si ce n'est pas vous qui avez demandé cette
opération, transmettez ces informations au webmaster".
Et il en fera quoi le webmaster ? Il déposera une plainte au BEFTI pour
tentative d'intrusion dans un SI ?
Je n'ai pas dit ça. La seule position que je soutiens, c'est qu'il est
plus primordial d'empêcher l'accès aux données que de les chiffrer. Cf
/etc/passwd vs /etc/shadow pour illustrer.
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Prévoir aussi de trapper les mails qui bouncent...
JG
Je n'ai pas dit ça. La seule position que je soutiens, c'est qu'il est
plus primordial d'empêcher l'accès aux données que de les chiffrer. Cf
/etc/passwd vs /etc/shadow pour illustrer.
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Prévoir aussi de trapper les mails qui bouncent...
JG
Je n'ai pas dit ça. La seule position que je soutiens, c'est qu'il est
plus primordial d'empêcher l'accès aux données que de les chiffrer. Cf
/etc/passwd vs /etc/shadow pour illustrer.
Donc ma première idée est de mettre en place la page classique contenant
un champ entrez votre email et on vous renvoie un nouveau mot de passe.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Avez-vous des idées ou des liens pour résoudre ce problème?
Envoyer un jeton d'autorisation de changement au lieu d'envoyer le
nouveau mot de passe. Exactement comme tout accès à une page protégée
par une session, sauf qu'on passe par un envoi mail. Noter que
l'authentification réside alors uniquement sur le fait qu'on espère que
l'attaquant n'a pas accès au mail en question (s'il est devant
l'ordinateur de la victime...).
Prévoir aussi de trapper les mails qui bouncent...
JG
Bonjour,
y'a pas beaucoup de PHP dans ce message, positionner un suivi vers un
groupe plus approprié si nécéssaire...
Je mettrais une contrainte unique (not null implicite) sur le champ
mail..
Je ne vois pas bien comment le petit malin s'y prendrait pour
chaner les mots de passe des autres, il peut envoyer des demandes de
changement de mot de passe a tout le monde mais pas les changer
effectivement.
Si le cas se produit, bannir IP (pas efficace pour les
adresses dynamiques).
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
autres sites perso permettent de réaliser des attaques ciblées sur
certains utilisateurs. (ceux qui laissent leur adresse blog/site dans la
signature). Je me rappelle d'une discussion à ce propos sur fcs
http://groups.google.be/groups/search?&q=%22question+de+securite%22+group%3Afr.comp.securite.
Avez-vous des idées ou des liens pour résoudre ce problème?
Pourquoi ne pas peupler une nouvelle table "users_ng" quand
l'utilisateur se connecte, le "forcer gentillement" à fournir les
nouvelles info (login, mdp, surnom, email, question secrete, réponse, IP
dernier login, timestamp dernier login, ban, ... Suggérer/imposer de ne
pas utiliser login comme surnom). Il se connecte avec ses identifiant
actuels, rempli les nouvelles infos et seulement après il peut acceder
aux fonctions membres uniquement. Si le membre a déjà perdu son mot
passe, tant pis pour lui, il créera un nouveau compte de tt façon.
Bonjour,
y'a pas beaucoup de PHP dans ce message, positionner un suivi vers un
groupe plus approprié si nécéssaire...
Je mettrais une contrainte unique (not null implicite) sur le champ
mail..
Je ne vois pas bien comment le petit malin s'y prendrait pour
chaner les mots de passe des autres, il peut envoyer des demandes de
changement de mot de passe a tout le monde mais pas les changer
effectivement.
Si le cas se produit, bannir IP (pas efficace pour les
adresses dynamiques).
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
autres sites perso permettent de réaliser des attaques ciblées sur
certains utilisateurs. (ceux qui laissent leur adresse blog/site dans la
signature). Je me rappelle d'une discussion à ce propos sur fcs
http://groups.google.be/groups/search?&q=%22question+de+securite%22+group%3Afr.comp.securite.
Avez-vous des idées ou des liens pour résoudre ce problème?
Pourquoi ne pas peupler une nouvelle table "users_ng" quand
l'utilisateur se connecte, le "forcer gentillement" à fournir les
nouvelles info (login, mdp, surnom, email, question secrete, réponse, IP
dernier login, timestamp dernier login, ban, ... Suggérer/imposer de ne
pas utiliser login comme surnom). Il se connecte avec ses identifiant
actuels, rempli les nouvelles infos et seulement après il peut acceder
aux fonctions membres uniquement. Si le membre a déjà perdu son mot
passe, tant pis pour lui, il créera un nouveau compte de tt façon.
Bonjour,
y'a pas beaucoup de PHP dans ce message, positionner un suivi vers un
groupe plus approprié si nécéssaire...
Je mettrais une contrainte unique (not null implicite) sur le champ
mail..
Je ne vois pas bien comment le petit malin s'y prendrait pour
chaner les mots de passe des autres, il peut envoyer des demandes de
changement de mot de passe a tout le monde mais pas les changer
effectivement.
Si le cas se produit, bannir IP (pas efficace pour les
adresses dynamiques).
D'autres part, je n'ai pas d'information dans la base concernant le
compte qui ne soit pas visible sur le site (genre, quel est le nom de
votre chien) qui permettrait d'identifier à coup sur le demandeur. Et
comme, il y a déjà plusieurs milliers de compte déjà créé, je ne peux
ajouter cette fonction.
Je me méfierais de ce genre de questions trop simples, les blogs et
autres sites perso permettent de réaliser des attaques ciblées sur
certains utilisateurs. (ceux qui laissent leur adresse blog/site dans la
signature). Je me rappelle d'une discussion à ce propos sur fcs
http://groups.google.be/groups/search?&q=%22question+de+securite%22+group%3Afr.comp.securite.
Avez-vous des idées ou des liens pour résoudre ce problème?
Pourquoi ne pas peupler une nouvelle table "users_ng" quand
l'utilisateur se connecte, le "forcer gentillement" à fournir les
nouvelles info (login, mdp, surnom, email, question secrete, réponse, IP
dernier login, timestamp dernier login, ban, ... Suggérer/imposer de ne
pas utiliser login comme surnom). Il se connecte avec ses identifiant
actuels, rempli les nouvelles infos et seulement après il peut acceder
aux fonctions membres uniquement. Si le membre a déjà perdu son mot
passe, tant pis pour lui, il créera un nouveau compte de tt façon.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Effectivement, je vais certainement opter pour cette idée. Sur le
principe de la session par contre, je me demande si le risque n'est pas
la fermeture du navigateur par l'internaute (ou alors je n'ai pas
compris la méthode).
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Bon sang, mais c'est bien sur... C'était pourtant évident rétrospectivement.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Effectivement, je vais certainement opter pour cette idée. Sur le
principe de la session par contre, je me demande si le risque n'est pas
la fermeture du navigateur par l'internaute (ou alors je n'ai pas
compris la méthode).
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Bon sang, mais c'est bien sur... C'était pourtant évident rétrospectivement.
Envoi d'un lien valide pendant X minutes (oh, une session !) permettant
d'écraser le mot de passe actuel.
Effectivement, je vais certainement opter pour cette idée. Sur le
principe de la session par contre, je me demande si le risque n'est pas
la fermeture du navigateur par l'internaute (ou alors je n'ai pas
compris la méthode).
Au moment de la validation, je pensai changer le mot de passe dans la
base en utilisant un généré aléatoirement, et envoyer ce dernier à
l'adresse email.
Oui si colonne temporaire. Mais ne rien faire sur le mot de passe
d'origine avant d'avoir le retour du mail. Inutile dans l'absolu.
Bon sang, mais c'est bien sur... C'était pourtant évident rétrospectivement.