Discussion :

[thomine]

Bonjour,

Je vous expose mon problème car je pense que c'est très classique et que beaucoup d'entre vous l'on déjà traité.
J'ai cherché mais je n'ai rien trouvé là-dessus précisément.

Je veux gérer des utilisateurs qui s'authentifient avec un mot de passe. J'aimerais que le mot de passe soit générer aléatoirement et que celui-ci soit crypté dans ma base de données.

Quelle API utiliser pour la génération aléatoire ?


Ensuite, est-il mieux de gérer l'encryptage du mot de passe par ma base de données (fonction password de MySql par exemple, mais cela ne règle pas le problème de la génération aléatoire), où est-il mieux de gérer ça en Java en utilisant un algorithme (et dans ce cas, lequel) ?

D'avance, merci pour vos réponses !

[denisC]

A priori, je ne vois pas le besoin d'une API pour ca....

Fait toi une belle array avec tous les caractères possibles pour tes mots de passe (y compris majuscule, minuscules, caractères spéciaux et nombres).
Puis fait du tirage aléatoire avec un objet Random dedans, pour des mots de passes de 6 ou 8 ou 10 lettres, selon ton bon vouloir....

[mush_H]

Alors, pour la génération aléatoire, si tu ne veux pas de la classique fonction pseudo aléatoire (que je ne te conseil vraiment pas point de vue sécurité) utilise cette api :
http://java.sun.com/products/jce/

Avec ca tu pourras généré des nombres alétoire et faire de la crypto forte AES RSA DES et j'en passe.

Aprés pour savoir si tu dois gerer ca plutot en java ou plutot par la base de donné il n'y a pas de réponse toute faite, ça dépend de pas mal de chose, à toi de voir.

[thomine]

Merci pour les réponses.

Ok, je pense que je vais faire quelques tests avec le tableau et un objet Random et voir si la gueule des mots de passe me convient. Sinon je regarderai JCE.

Pour l'encryptage des mots de passe, je me demandais s'il n'y avait pas une "best practice" à avoir et des arguments pour gérer ça plutôt par la BD ou plutôt par Java.

Si d'autres personnes ont un avis à me donner...

[pimousse76]

enregistre tes mots de passe en MD5 dans ta bdd.

[thomine]

Ok, va pour le MD5, il me semble que MySql peut utiliser ça aussi pour les mots de passe.

Merci.

Précision : Ce que je veux faire avec mes mots de passe n'est pas du cryptage mais du hashage. La différence est que le hashage n'est pas réversible.