Forum général.cherche-logiciel Sécurisation d'un mot de passe enregistré

Posté par .
Tags : aucun
0
3
juin
2010
Bonsoir

Je cherche à écrire un logiciel de type démon qui doit se connecter à un webservice distant en utilisant un mot de passe. Je ne souhaite pas que l'utilisateur ait besoin de saisir son mdp, je dois donc l'enregistrer quelque part.

Y a t'il un moyen de procéder à cet enregistrement en ayant le moins de risque possible que ce mdp soit découvert ?

Voici l'état de ma réflexion :
- lors de la saisie initiale du mot de passe, celui-ci est chiffré par le logiciel avec un algo de type AES et enregistré sur disque : ça évite au moins la possibilité de lire un simple fichier de conf pour y trouver un mot de passe en clair.
- lors de l'utilisation du mdp, il est déchiffré par le logiciel et utilisé en https : ça évite un sniffer de réseau.
- avec ce système on peut tout de même étudier le soft et en extraire la clé AES pour déchiffrer le mdp crypté

=> y'a t'il un moyen intelligent de résoudre le troisième point ? Ou bien à partir du moment où le mdp est conservé c'est cuit ?
  • # certificat...

    Posté par . Évalué à 3.

    il me semble que l'identification par certificat est faite pour ca...
    • [^] # Re: certificat...

      Posté par . Évalué à 1.

      Pour se connecter au web service, il vaut effectivement mieux utiliser un certificat qu'un mot de passe. Mais mot de passe ou clef privée, il veut stocker ces informations sur la machine de façon sûre.
      En fait, la situation est un peu cuite: il se retrouve dans la même situation que le mythe des DRM a vouloir protéger une information contre la volonté de l'administrateur de la machine (si celui-ci avait été d'accord, les droits sur le fichier du mot de passe auraient réglé le problème, trou de sécu mis à part).
      - tu veux authentifier l'utilisateur: utiliser le porte-feuille de mots de passe de l'utilisateur (donc c'est pas un démon qui démarre au boot)
      - tu veux authentifier la machine de l'utilisateur: un certificat propre à la machine, révocable. Tu peux utiliser la puce TPM de la machine.
      • [^] # Re: certificat...

        Posté par . Évalué à 1.

        en effet ça a l'air un peu cuit :
        - pour le porte feuille de mot de passe ça implique de débloquer le porte feuille donc de saisir un mdp (c'est similaire au cryptage du mot de passe dans un fichier)
        - pour le certificat ça n'authentifie que la machine, et M. root peut toujours le trouver. De plus le logiciel peut être installé sur plusieurs machines pour le même utilisateur.

        Dans ts les cas je n'aurais pas de sécurité (je peux juste rendre la tâche + difficile) : qu'est-ce que je pourrais faire de + pour au moins ralentir l'éventuel attaquant ?
        • [^] # Re: certificat...

          Posté par . Évalué à 2.

          l'attaquant qui voudrait faire quoi ?

          parce que le certificat tu peux le mettre en lecture seule, voire dans un dossier appartenant à ton demain avec un 700 sur le repertoire

          à moins d'etre root ou d'acceder physiquement à la machine, tu ne verras jamais ce fichier
          • [^] # Re: certificat...

            Posté par . Évalué à 1.

            > à moins d'etre root ou d'acceder physiquement à la machine, tu ne verras jamais ce fichier

            c'est justement le pb : si c'est par exemple un mot de passe de site bancaire, même root ne doit pas pouvoir le lire....
            • [^] # Re: certificat...

              Posté par . Évalué à 2.

              un mot de passe de site bancaire, tu ne le fais pas se connecter automatique, tu demandes toujours une validation manuelle

              et si le mot de passe est "crypté" dans le trousseau de l'utilisateur, le pire qu'il puisse faire, c'est aller l'effacer avec l'outil de gestion du trousseau
        • [^] # Re: certificat...

          Posté par . Évalué à 1.

          Attention, je ne suis pas un spécialiste.

          Tu peux imposer une complexité suffisante au mot de passe (longueur mini, caractère), sans rentrer dans un délire qui gène trop l'utilisation.

          Tu peux ajouter un « Salage (cryptographie) » au mot de passe avant qu'il soit chiffré chez toi. Cela empêche l'utilisation de « rainbow table ».

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.