Discussion :

[tsumiko]

Bonjour,

Un truc réellement étrange :
Le plugin sfguard permet par l'intermediaire du module sfguardforgotpassword de gérer l'oubli d'un mot de passe comme le dit le nom du module.
Mais, lol, l'utilisateur reçoit un mail avec un lien pour changer sont mot de passe, MAIS, pas de mot de passe.
Pire encore, si on clique sur le lien, on accède à la saisie du mot de passe ancien et la saisie du nouveau (changement de mot de passe)
Comment saisir le mot de passe si justement on demande à ce que le site nous l'envoie parceque l'utilisateur l'a oublié (????)
Style, tu cherches du boulot? il faut des papiers... pour avoir des papiers? il faut un boulot
Alors question : avec ce module, comment on fait pour envoyer le mot passe lorsqu'il a créé son compte ?
Encore un bug du module?

[stealth35]

Bonjour,

Un truc réellement étrange :
Le plugin sfguard permet par l'intermediaire du module sfguardforgotpassword de gérer l'oubli d'un mot de passe comme le dit le nom du module.
Mais, lol, l'utilisateur reçoit un mail avec un lien pour changer sont mot de passe, MAIS, pas de mot de passe.
Pire encore, si on clique sur le lien, on accède à la saisie du mot de passe ancien et la saisie du nouveau (changement de mot de passe)
Comment saisir le mot de passe si justement on demande à ce que le site nous l'envoie parceque l'utilisateur l'a oublié (????)
Style, tu cherches du boulot? il faut des papiers... pour avoir des papiers? il faut un boulot
Alors question : avec ce module, comment on fait pour envoyer le mot passe lorsqu'il a créé son compte ?
Encore un bug du module?

parce que tu comptes sauvegarder les mots de passe en claire ?

[tsumiko]

biensûr que non
Mais comment envoyer le mot de passe lors d'une demande?

[Michel Rotta]

Ce que tu nous dis me semble très étrange. Je viens de rapidement parcourir le code de forgotpassword il se passe en plusieurs étapes.

L'utilisateur demande a changer son mot de passe.
Il reçoit un email pour confirmer sa demande de changement et qui pointe vers un lien particulier pour cela.
Une fois le mail cliqué pour valider la demande de changement, il va recevoir un nouveau mail pour effectivement changer son mot de passe.
Et là, il a une boite de dialogue qui lui demande de saisir son nouveau mot de passe.

Ceci me semble logique, non ?

Tu as dû louper une étape dans l'implémentation où tu as une route qui utilise le même préfix que la route utilisée pour le changement du mot de passe oublié.

Creuse de ces deux côtés là, pour commencer.

[tsumiko]

Comme je le dis dans mon premier message, l'utilisateur reçoit un message pour changer son mot de passe. J'avais bien saisi.
Mais le nom du module "sfGuardForgotPassword" m'à induit en erreur, par oubli de mot de passe, je pensais que l'utilisateur alait recevoir le mot de passe qu'il a saisi lors de la création de son compte.
Hors, pas du tout, il recoit un mot de passe géré aléatoirement qu'il à ensuite la possibilité de modifier.
C'est la première fois que je vois ça, d'autres sites, envoie le mot de passe saisi à l'origine, je pensais qu'il y avait la possibilité de le faire avec sfguard.
Ce que je vais faire c'est remplacer sa façon de faire.
Je vais enregistrer le mot de passe en md5+sel et faire l'inverse pour l'envoyer à l'utilisateur, je l'avais déjà fait sur un autre site.
Je n'aime pas beaucoup la açon de faire de sfguard, je suis déçu.

[Michel Rotta]

La façon de faire de sfGuard est la meilleur.

J'explique.

Le md5 est un algorithme de hachage, si tu arrives avec ton mot de passe haché et ta clef à retrouver le mot de passe d'origine, tu auras résolu un des Saint Graal des pirates informatique. Mais j'ai des doutes. Ils est donc totalement impossible de retrouver un mot de passe depuis sa clef de hash.

Pourquoi est-ce que cette méthode est la meilleur ? Parce qu'ainsi les mots de passe de ton utilisateur sont parfaitement protégé. Même si quelqu'un parvenait à voler la base de données et surtout la table des utilisateurs, il ne pourra avoir accès aux mots de passe.

De plus, en tant qu'administrateur système depuis quelques (dizaines) d'années, je n'ai jamais voulu avoir la possibilité de connaitre le moindre mot de passe d'un utilisateur. Ainsi, il est impossible de dire que j'ai fait une manipulation à l'insu d'un utilisateur mais avec son mot de passe. Et les changement sur les systèmes que j'administre sont à l'identique, si un utilisateur perd son mot de passe, je le change par un temporaire qui n'est valable qu'une fois, charge à lui d'en trouver un "bon" a entériner lors de la premier connexion qui suit.

Maintenant, tu as la possibilité de spécifier l’algorithme à utiliser pour l'encodage du mot de passe avec sfGuard, rien ne t'empêche de modifier celui-ci pour un algorithme de cryptage, qui sera, lui, réversible. ATTENTION ! ne pas le faire sur des utilisateurs qui ont déjà un compte avec un mot de passe hashé, il ne pourraient plus accéder à leur compte.

[stealth35]

Le md5 est un algorithme de hachage, si tu arrives avec ton mot de passe haché et ta clef à retrouver le mot de passe d'origine, tu auras résolu un des Saint Graal des pirates informatique. Mais j'ai des doutes. Ils est donc totalement impossible de retrouver un mot de passe depuis sa clef de hash.

Pourquoi est-ce que cette méthode est la meilleur ? Parce qu'ainsi les mots de passe de ton utilisateur sont parfaitement protégé. Même si quelqu'un parvenait à voler la base de données et surtout la table des utilisateurs, il ne pourra avoir accès aux mots de passe.

c'est pas totalement vrai, y'a plein d'outils avec des rainbow table pour faire la correspondance (pas tout certe, mais pour des mot de passe simple c'est vite fais)

[Michel Rotta]

c'est pas totalement vrai, y'a plein d'outils avec des rainbow table pour faire la correspondance (pas tout certe, mais pour des mot de passe simple c'est vite fais)

Et on est parti du côté du piratage...

C'est sur qu'un mot de passe de 5 caractères, même ne force brute, c'est rapide. Mais : rien ne permet d'assurer que tu as le mot de passe, juste une clef qui marche et donne le même hash (pour pirater c'est suffisant) ; comme tu es un bon, tu vas exiger un minimum de complexité dans le mot de passe et, alors, le temps de recherche avec ou sans table devient vite logarithmique. On peut donc considérer que, dans le cadre présent, cette solution (de piratage) n'est absolument pas viable.

Fin du ban sur le piratage... non mais

[stealth35]

je suis d'accord en tout point, je réagissais juste ca cette phrase qui est tout simplement fausse :

Ils est donc totalement impossible de retrouver un mot de passe depuis sa clef de hash.

le temps de recherche avec ou sans table devient vite logarithmique.

logarithmique ? exponentielle

[tsumiko]

Je pense aussi que c'est exponentielle que voulais dire michel

Ma solution pour créer un mot de passe avec retour arrière est simple (pour celui qui conçoit l'algo de cryptage)
Je ne vais pas l'expliquer car c'est assez long et je garde le principe secret, pour le retour arrière, bon courage aux pirates, car je connait les principes (notamment les rainbow tables).
Bref, je vais quand même garder la méthode sfguard, autant rester dans la logique du plugin, qui, tout bien réfléchi, n'est mauvaise non plus.

Je pense que le problème est résolu.
Quand j'aurai le temps, je mettrai quand même ma méthode en place

[Michel Rotta]

logarithmique - exponentielle : encore un coup du correcteur orthographique !

Il y a de très bonnes méthodes d'encryptages qui existes. Toutes présentes un inconvénient, qu'il y ait une ou deux clefs, c'est que pour coder et décoder tes clefs doivent être présentes dans le programme, ce qui constitue une faille de sécurité, surtout en php, vu l'ouverture du code. Et s'il n'y a pas de clef et que c'est réversible, alors c'est crakable si quelqu'un le veux.

Mais tu peux aussi considérer que ton serveur est très correctement protégé, qu'un accès directe ou indirecte mais avec prise de contrôle est impossible, et que donc, les informations dans les tables sont en parfaite sécurité. A partir de là, tu peux stocker le passe en clair vu qu'il ne "risque rien". Et pas besoin de coder ou décoder.

Tu devineras que cette solution n'a pas ma préférence

[tsumiko]

La solution de sensio n'est pas mal mais bon, il suffit de taper un pseudo existant et le pauvre gars reçoit un mail de changement de mot de passe.
Il va se poser des question, pourquoi le site veut-il que je change de mot de passe?
Perso, j'ai réjouté la saisie du mail obligatoire, ça limite ^^

[Michel Rotta]

Il envoie le mot de passe temporaire immédiatement ?

Bizarre, j"avais pourtant l'impression qu'il procédait en deux étapes, la première étant la confirmation de la demande.

[tsumiko]

Non, la confirmation est seulement lors de la création d'un compte.
Pour l'oubli du mot de passe, il saisi son pseudo, le mail est envoyé à l'adresse mail correspondant au pseudo saisi.
Dans le mail, il y a un lien qui ouvre une page donnant accès à un formulaire qui permet la saisie du nouveau mot de passe ainsi que sa confirmation.
Le mail est envoyé immédiatement après la validation du pseudo.
L'utilisateur reçoit ensuite un mail indiquant son mot de passe nouvellement créé.

[Michel Rotta]

Donc si quelqu'un essaye de foutre la m... en envoyant une demande de changement de mot de passe à n'importe qui, tous ce qu'il a c'est un mail disant que, s'il veut changer le mot de passe, il doit cliquer.

Donc, s'il ne voit pas le mail, ou décide de ne rien faire, l'ancien mot de passe reste en activité et la demande est donc sans conséquence.

Ceci me semble très bien comme système, non ?

Il y a juste l'envoie du mail avec le nouveau mot de passe que je n'aime pas. Ceci enlève une bonne partie de la sécurité.

[tsumiko]

Pour l'envoi du mot de passe, tous les sites le font, juste pour que l'utilisateur ait une trace.
Bref, le plugin complet est en place et tout fonctionne à merveille ^^
Je suis satisfait

[Michel Rotta]

Ce n'est pas parce que beaucoup de site le font qu'ils ont pour autant raison. Voir un de mes mots de passe circuler sur le réseau dans un mail, non protégé. Ou encore me revenir par mail à la moindre sollicitation m'horripile au plus haut point. Peut-être suis-je trop exigeant.

L'avantage avec Symfony 2 est que l'on va pouvoir, pour les intranet surtout, être beaucoup plus souple sur le système de vérification et notamment utiliser très simplement les annuaire X500 notamment le domaine Windows de l'entreprise pour valider l'entrée d'un site. Donc diminuer l'avalanche de mots de passe que notre povre utilisateur doit retenir. Trop de mots de passes tue le mot de passe.