Protection efficace d'un mot de passe - Webmastering Fermé

Question

Bonjour, 

Dans le cadre d'un projet perso je tiens à restreindre l'accès à un site et ce de manière efficace. Le soucis, j'ai des connaissances théoriques quant à la sécurité info, mais en terme de code j'nage un peu...
En gros, j'aimerai protéger mon mot de passe des injections (XSS, SQL), Brutforce et du vol de jeton.
Au niveau des injections ça devrait aller (utilisation de fonctions PHP viable ? J'pense à htmlspecialchar() et htmlentities() ).  Si ce n'est pas le cas, que faut-il utiliser ? 
Pour le bruteforce, hasher son mot de passe dans sa base de donner suffit ? J'ai cru comprendre qu'un hash accompagné d'un "grain de sel" était relativement efficace. D'un point de vue technique j'suis un peu perdu, un tuto pour hasher une donnée au sein de sa BDD ?
Pour finir, la protection des jetons (via $_SESSION ?), là j'n'y connais rien... Quelqu'un pourrait-il m'aider? 

Ce site est destinné à des étudiants MMI (metiers du multimédia et de l'informatique), je crains qu'il y ai 2/3 bidouilleurs dans la promotion...
Bonne fin de journée à vous 
Cdlt
Clément

Malekal_morte- · Answer

Salut,

Le hash des mots de passe n'a rien à voir avec le bruteforce, du moins pour les bruteforces sur les forms.
Si le gars a un mot de passe facile, hasher ou pas dans la base de données, ça changera rien .
C'est interressant seulement si un dump de la base a pu être fait ou si un fichier de conf a pu être lu (style LFI).
Pour la récupération du mot de passe, faut taper sur sha1256 avec un salt - et oui tu seras tranquille.

Pour les Injections SQL : https://www.malekal.com/sql-injection-sqli-quelques-commentaires/
Faut bien filtrer les parametres aussi.

Pour les RFI : https://www.malekal.com/attaques-rfi-remote-file-include-sur-wordpress/

Et du côté du serveur WEB - le mieux c'est de mettre modsecurity avec de bonnes regles, c'est pas mal : https://www.malekal.com/presentation-modsecurity-pour-apache/ 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Clement · Answer

Merci Malekal ! J'vais potasser tout ce que tu viens de me partager avec serieux.

J'viens de m'entretenir avec le responsable de la sécurité informatique de mon département, voici les conseils qu'il m'a donné :
- Utiliser protocole HTTPS
- Verifier les valeurs de $ID_SESSION lors de l'identification et post indentification
- Limiter les bruteforce avec time_out() (sur nb d'essais)

Autrement dit, j'ai de la lécture pour la semaine ! :)
Encore merci

Protection efficace d'un mot de passe - Webmastering

2 réponses

Discussions similaires