Bonsoir
Je cherche à écrire un logiciel de type démon qui doit se connecter à un webservice distant en utilisant un mot de passe. Je ne souhaite pas que l'utilisateur ait besoin de saisir son mdp, je dois donc l'enregistrer quelque part.
Y a t'il un moyen de procéder à cet enregistrement en ayant le moins de risque possible que ce mdp soit découvert ?
Voici l'état de ma réflexion :
- lors de la saisie initiale du mot de passe, celui-ci est chiffré par le logiciel avec un algo de type AES et enregistré sur disque : ça évite au moins la possibilité de lire un simple fichier de conf pour y trouver un mot de passe en clair.
- lors de l'utilisation du mdp, il est déchiffré par le logiciel et utilisé en https : ça évite un sniffer de réseau.
- avec ce système on peut tout de même étudier le soft et en extraire la clé AES pour déchiffrer le mdp crypté
=> y'a t'il un moyen intelligent de résoudre le troisième point ? Ou bien à partir du moment où le mdp est conservé c'est cuit ?
Forum général.cherche-logiciel Sécurisation d'un mot de passe enregistré
3
juin
2010
# certificat...
Posté par NeoX . Évalué à 3.
[^] # Re: certificat...
Posté par pma . Évalué à 1.
En fait, la situation est un peu cuite: il se retrouve dans la même situation que le mythe des DRM a vouloir protéger une information contre la volonté de l'administrateur de la machine (si celui-ci avait été d'accord, les droits sur le fichier du mot de passe auraient réglé le problème, trou de sécu mis à part).
- tu veux authentifier l'utilisateur: utiliser le porte-feuille de mots de passe de l'utilisateur (donc c'est pas un démon qui démarre au boot)
- tu veux authentifier la machine de l'utilisateur: un certificat propre à la machine, révocable. Tu peux utiliser la puce TPM de la machine.
[^] # Re: certificat...
Posté par norbs . Évalué à 1.
- pour le porte feuille de mot de passe ça implique de débloquer le porte feuille donc de saisir un mdp (c'est similaire au cryptage du mot de passe dans un fichier)
- pour le certificat ça n'authentifie que la machine, et M. root peut toujours le trouver. De plus le logiciel peut être installé sur plusieurs machines pour le même utilisateur.
Dans ts les cas je n'aurais pas de sécurité (je peux juste rendre la tâche + difficile) : qu'est-ce que je pourrais faire de + pour au moins ralentir l'éventuel attaquant ?
[^] # Re: certificat...
Posté par NeoX . Évalué à 2.
parce que le certificat tu peux le mettre en lecture seule, voire dans un dossier appartenant à ton demain avec un 700 sur le repertoire
à moins d'etre root ou d'acceder physiquement à la machine, tu ne verras jamais ce fichier
[^] # Re: certificat...
Posté par norbs . Évalué à 1.
c'est justement le pb : si c'est par exemple un mot de passe de site bancaire, même root ne doit pas pouvoir le lire....
[^] # Re: certificat...
Posté par NeoX . Évalué à 2.
et si le mot de passe est "crypté" dans le trousseau de l'utilisateur, le pire qu'il puisse faire, c'est aller l'effacer avec l'outil de gestion du trousseau
[^] # Re: certificat...
Posté par Mikis . Évalué à 1.
Tu peux imposer une complexité suffisante au mot de passe (longueur mini, caractère), sans rentrer dans un délire qui gène trop l'utilisation.
Tu peux ajouter un « Salage (cryptographie) » au mot de passe avant qu'il soit chiffré chez toi. Cela empêche l'utilisation de « rainbow table ».
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.