{"id":28494,"date":"2019-08-09T09:14:12","date_gmt":"2019-08-09T07:14:12","guid":{"rendered":"https:\/\/blog.wildix.com\/?p=28494"},"modified":"2019-08-09T09:14:12","modified_gmt":"2019-08-09T07:14:12","slug":"les-mots-de-passe-et-les-protocoles-dauthentification-sont-ils-vraiment-securises","status":"publish","type":"post","link":"https:\/\/blog.wildix.com\/fr\/les-mots-de-passe-et-les-protocoles-dauthentification-sont-ils-vraiment-securises\/","title":{"rendered":"Les mots de passe et les protocoles d’authentification sont-ils vraiment s\u00e9curis\u00e9s ?"},"content":{"rendered":"

\"\"\u00a0Malheureusement, pas toujours ! R\u00e9v\u00e9lons leur vuln\u00e9rabilit\u00e9 !<\/p>\n

\n
\n
\n
\n

L\u2019authentification est le processus de ve\u0301rification de l\u2019identite\u0301 d\u2019un utilisateur qui se connecte au syste\u0300me. L\u2019efficacite\u0301 de ce processus est de\u0301termine\u0301e par les protocoles et les me\u0301canismes d\u2019authentification utilise\u0301s. Dans cet article, nous passerons en revue et e\u0301valuerons certains types d\u2019authentification afin de de\u0301terminer lesquels d\u2019entre eux sont re\u0301ellement se\u0301curise\u0301s.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n

<\/p>\n

\n
\n
\n
\n

HTTP Basic<\/strong><\/p>\n

La premie\u0300re version de SIP utilisait l\u2019authentification HTTP de base. Ce syste\u0300me est assez facile a\u0300 de\u0301tourner par les hackers. Ce type d\u2019authentification perd donc de son charme depuis un certain temps.<\/p>\n

Dans l\u2019authentification HTTP, un hacker peut simplement capturer un paquet contenant le mot de passe code\u0301 en base64, qui est ensuite utilise\u0301 pour de\u0301coder et exe\u0301cuter des attaques.<\/p>\n

\n
\n
\n
\n

Pas tre\u0300s se\u0301curise\u0301, en effet…..<\/p>\n<\/div>\n

\n
\n
\n
\n

 <\/p>\n

Digest Authentification<\/strong><\/p>\n

Digest Authentification, utilise\u0301e a\u0300 la fois par SIP et HTTP, introduit la possibilite\u0301 de ne sauvegarder qu\u2019une version chiffre\u0301e du mot de passe sur le serveur. Cela empe\u0302che le client d\u2019envoyer le mot de passe dans un format facilement de\u0301codable et permet au serveur de sauvegarder un hachage du mot de passe (qui ne peut pas e\u0302tre facilement de\u0301code\u0301).<\/p>\n

Examinons en de\u0301tail les messages e\u0301change\u0301s entre le client et le serveur : Le serveur ne\u0301cessite une authentification.<\/p>\n

\"\"<\/p>\n

\n
\n
\n

La valeur de \u00abre\u0301ponse\u00bb est calcule\u0301e dans les trois e\u0301tapes suivantes (si les valeurs sont combine\u0301es, elles sont de\u0301limite\u0301es par deux points) :<\/p>\n

    \n
  1. Le hachage MD5 du nom d\u2019utilisateur, du domaine d\u2019authentification et du mot de passe combine\u0301s est calcule\u0301. Le re\u0301sultat est appele\u0301 HA1.<\/li>\n
  2. Le hachage MD5 de la me\u0301thode et de l\u2019URI de re\u0301sume\u0301 combine\u0301s est calcule\u0301 (par exemple, de \u00abGET\u00bb et \u00ab\/dir\/index.html\u00bb). Le re\u0301sultat est appele\u0301 HA2.<\/li>\n
  3. Le hachage MD5 du re\u0301sultat HA1 combine\u0301, du nonce serveur (nonce), du compteur de demandes (nc), du nonce client (cnonce), du code de qualite\u0301 de la protection (qop) et du re\u0301sultat HA2 est calcule\u0301. Le re\u0301sultat est la valeur \u00abre\u0301ponse\u00bb fournie par le client.<\/li>\n<\/ol>\n<\/div>\n

    \"\"<\/p>\n

    \n
    \n
    \n

    Les avantages de l\u2019utilisation de cette me\u0301thode sont les suivants :<\/p>\n<\/div>\n<\/div>\n

    \n
    \n