Commentaires sur une source : SYSTEME D'AUTHENTIFICATION PHP AVEC PROTÉCTION KEYLOGGER

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
30 oct. 2012 à 00:59

Lol, presqu'un an après le dernier post (exactement 11 mois, jour pour jour). C'est bien, au moins c'est pas encore tout à fait mort {'^_^}.

chupchup
30 oct. 2012 à 00:13

Très bon cas d'école! Bravo! 10/10

Pour qu'il soit totalement safe, il faudrait le coupler avec un login standard (avec des puces dans le "input"), car ce n'est pas grave si le keylogger le mémorise puisqu'il faudra les deux pour fonctionner et cela empêche les curieux d'utiliser la combinaison visuelle...
;)
Et en plus du double login, par exemple pour la partie admin, si l'on veut pousser à l'extrême sans trop de frais, on peut également demander un code temporaire envoyé sur son email lorsque l'on rentre le nom d'utilisateur. Il suffit dès lors de regarder ses mails avec son smartphone pour voir avoir un code unique limité dans le temps...

Mais effectivement, la parano va au détriment des utilisateurs... à méditer.

fenomex Messages postés 1 Date d'inscription mercredi 30 novembre 2011 Statut Membre Dernière intervention 30 novembre 2011
30 nov. 2011 à 12:45

Voila j'ai fais quelques modifications,
c'est un code que j'ai fais pour passer le temps donc c'est pas l'idée du siècles mais il peut être util :)

Killer42 Messages postés 5 Date d'inscription dimanche 18 avril 2004 Statut Membre Dernière intervention 22 septembre 2008
3 nov. 2011 à 23:22

Mtrix000: Je suis un peu comme toi pour les sites ou j'ai des données personnelles. Un pass complexe aléatoire impossible à retenir enfin pour moi ;) et pas de lien (mail identique). Un pass générique comme le commun des mortels pour les sites ou tu t'inscris sans données personnels ou bidon et pour de la consultation. Je suis encore d'accords sur le type de protection et la durée de vie des données. La ou je ne suis pas d'accord est sur le travail pour de l'argent. Ton code en est un très bon exemple. Les codes et autres très propre arrive uniquement des passionnés avec aussi l'aide de discutions constructive sur les forums. Les boites on besoin de rentabilité. Il on vendu ton code avant même que tu l'ais pondu. Un truc qu'il ne faux pas se cacher est que plus il y a de néophytes ou de personnes ne voulant pas se prendre la tête avec des pass complexe etc... plus nous sommes tranquille.

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
3 nov. 2011 à 19:04

Il ne faut pas être parano... c'est mauvais pour soit et pour augmenter sa productivité sur les choses que l'on entreprend de faire. Encore faut il ne rien avoir a ce reprocher !
Le vrai problème c'est la mauvaise gestion de la durée de vie des données, et surtout les développeurs travaille presque tous aujourd'hui pour l'argent, il n'y a plus d'artiste passionné du développement, bref moi personnellement je préfére utiliser un mot de passe complexe différent sur chaque site et surtout de ne faire aucune interconnexion entre les différents sites, je suis parano :)

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
3 nov. 2011 à 18:54

J'ai bien parler de l'ignorance des utilisateurs, donc oui je m'inclus dedans. Le fait est qu'on ne peut pas savoir ce qu'il en est a moins de mettre son nez dans le code et de le comprendre de bout en bout. Il y a forcement une grosse part de confiance. Qu'on parle d'ethique ou pas d'ailleurs : la confiance ca se gagne durement mais ca se perd facilement, c'est pas comme si Google ou facebook jouaient a coup de cartes de fidelite.

Et non je travaille pas chez FB, je suis doctorant en informatique en Italie {^o^} muahaha ! Voila, ca c'etait pour l'ego.

Cela dit si toi tu te fais des adresses a la volee avec ton propre domaine et tout, ce style de procedure ne concerne qu'une poignee d'individus. Tu ne peux pas critiquer une solution grand public sous pretexte que ce n'est pas compatible avec une utilisation qui t'es propre. Tu as choisis de faire comme ca, mais personne ne t'y a oblige. C'est comme aller critiquer le boulanger du coin sous pretexte qu'il fait des pains au chocolat avec des barrettes de chocolat alors que toi tu te les fait au nutella.

Bon cela dit on debat sur le bien fonde des connexions centralisees alors que c'est pas le sujet {'^_^} desole de polluer ton topic mtrix000.

testabc Messages postés 33 Date d'inscription jeudi 17 juillet 2008 Statut Membre Dernière intervention 23 juillet 2014
3 nov. 2011 à 18:30

Je n'ai ni besoin de facebook ni de twitter pour avoir mon réseau et je trouve ça simplement "abusé" le fait d'être obliger de s'enregistrer avec l'un ou l'autre sans aucune alternative et c'est la dessus que j'insiste, sans alternative. La on ne parle pas de confiance, mais d'usages.

Quand je m'inscris sur un site, je crée à la volée mon email
exemple, je m'enregistre sur le site de la fnac et mon email sera fnac@mondomaine.tld (avec une redir vers ma vrai BAL)
je peux ainsi suivre les emails non solicités qui arrive sur ma boite et voir qui revend ses fichiers clients.
Voila pourquoi je veux pouvoir avoir le choix...

Sazaju :
"C'est une remarque que j'aime bien, parce qu'elle souligne l'ignorance des utilisateurs vis-a-vis du site auquel ils se connecte."
j'aime bien ta remarque aussi, peut être travailles tu chez FB mais si ce n'est pas le cas tu fais donc parti toi aussi des ignorants, ou alors tu as accès au code ??

bref l'éthique ne fait pas tout... c'est pas le monde des bisounours
et comme on dit : pas vu, pas pris !

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
3 nov. 2011 à 18:22

Toute idee du siecle commence par un passe temps, ne neglige pas les productions volontaires {^_°}. C'est comme ca qu'on finit par bosser dans ce qu'on aime, sinon ca restera toujours un passe temps.

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
3 nov. 2011 à 17:16

Voila j'ai fais quelques modifications,
c'est un code que j'ai fais pour passer le temps donc c'est pas l'idée du siècles mais il peut être util :)

Merci

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
3 nov. 2011 à 11:33

Mais la le lien est evident : tu preferes donner tes donnees bancaires a un site verifie unique plutot qu'a tous les sites d'achats que tu utilises. La on a la meme idee pour la connexion, elle est juste moins evidente mais tout aussi justifiee. C'est une question de point de vue apres. Il y en a qui prefere morceler pour eviter que tout tombe en miette si le serveur principal est down, c'est une logique de base pour la fiabilite : un serveur redondant est mieux qu'un serveur unique (et ca justifie parfaitement la remarque de TESTABC). Mais la logique est inversee lorsqu'on parle de securite (au sens du maintien du secret), car qui dit redondance dit multiplication des possibilites de crack. Ou de maniere plus generale, plus de personnes connaissent le secret, donc il a plus de chances d'etre ebruite.

Faut prendre les jumelles dans le bon sens on va dire {'^_^}.

coucou747 Messages postés 12303 Date d'inscription mardi 10 février 2004 Statut Membre Dernière intervention 30 juillet 2012 44
3 nov. 2011 à 11:18

En lisant les API, tu vois qu'il n'y a pas grand chose qui passe : tu t'authentifies sur le serveur de google ou facebook, le site qui demande l'authentification n'a pas le password.
On fait souvent ça pour du paiement en ligne, et c'est beaucoup plus important comme sujet.

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
3 nov. 2011 à 11:05

"créer un compte chez une entité afin d'accéder à un service qui n'a au final aucun rapport avec... "
Je comprends le point de vue, cela dit si on prend en compte le fait que ce sont (facebook et twitter notamment) des services dont l'objectif est de mettre en place des reseaux sociaux, on ne peut pas dire non plus que partager une meme connexion sur differents sites soit completement denue de sens. Dans le cas de Google, bien qu'il ait aussi ce genre de fonctionnalites, il fait plein d'autre chose, donc dans son cas c'est plus pour dire de "centraliser" que de "lier".

"De plus, rien ne nous dit qu'il n'y a pas d'échange de données entre les sites."
C'est une remarque que j'aime bien, parce qu'elle souligne l'ignorance des utilisateurs vis-a-vis du site auquel ils se connecte. Mais je tiens a rappeler que c'est vrai pour a peu pres tous les sites. En fait, seuls ceux que tu as fait toi meme sont garanti sans echange de donnees (et encore, ca depend si tu installes des modules fait par d'autres, ...). C'est une question de confiance. Et s'il semble naturel de ne pas faire confiance aux grosses boites, parce qu'elles ont plus de raisons (commerciales) d'echanger des donnees, elles ont aussi plus de raison (de marque) de ne pas le faire, car si quelqu'un s'en rend compte ou qu'il y a une fuite, ca fera bien plus de bruit que si le probleme vient d'un site perso (et via Internet c'est bien plus brutal qu'une simple rumeur qui passe aux JT). Il ne faut pas regarder seulement le verre a moitie vide, il est aussi a moitie plein {^_^}.

testabc Messages postés 33 Date d'inscription jeudi 17 juillet 2008 Statut Membre Dernière intervention 23 juillet 2014
2 nov. 2011 à 18:39

"si tu n'as pas de compte tu peux très bien t'en faire un..."
oui je suis d'accord avec toi mais c'est justement ça qui me dérange...
créer un compte chez une entité afin d'accéder à un service qui n'a au final aucun rapport avec...

C'est plus l'obligation dans la démarche que la création du compte en lui même qui me gêne.
De plus, rien ne nous dit qu'il n'y a pas d'échange de données entre les sites.

Enfin ce n'est que mon point de vue et peut importe la rapidité du processus puisque le navigateur permet aussi de retenir les mots de passe.

coucou747 Messages postés 12303 Date d'inscription mardi 10 février 2004 Statut Membre Dernière intervention 30 juillet 2012 44
2 nov. 2011 à 17:53

Je ne connais personne sur internet qui n'ai ni :
- facebook
- openid
- twitter
- gmail

tout en étant inscrit ailleur...

De plus, s'authentifier revient parfois a ne cliquer que sur :
- se connecter avec X
- autoriser Y a accèder aux informations ...

Donc c'est un processus beaucoup plus rapide pour l'utilisateur.

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
2 nov. 2011 à 13:52

N'oublie pas qu'un utilisateur lambda ne gère pas un carnet d'identifiants, en s'assurant d'avoir un mot de passe à la fois fiable et différent pour chaque site sur lequel il se connecte : il n'est pas rare d'utiliser le même login et le même mot de passe pour plusieurs site. Sauf que la sécurité de ton mot de passe est équivalent à la sécurité du site le moins fiable sur lequel tu l'utilise. Par conséquent, si tu te le fais craquer sur un site mal sécurisé, c'est tous les sites sur lesquels tu l'utilise qui sont craqué, aussi sécurisés soient-ils. Le fait d'utiliser une connexion centralisée te permet de n'avoir besoin de faire confiance qu'à un seul site. Cela dit je suis d'accord sur le fait que ce site là doit être parmi les meilleurs niveau sécurité. Personnellement je pense que Google est plus sécurisé qu'un site perso, même bien entretenu.

De plus, le fait d'avoir des tas de mots de passe à gérer favorise allègrement l'utilisation de mots de passes faibles, faciles à retenir. Ce qui est finalement très peu sécurisé. Mieux vaut se donner la peine de mémoriser un seul mot de passe fort et utiliser toujours le même grâce à une connexion centralisée suffisamment sécurisée.

Ensuite il ne faut pas être de mauvaise fois : Que fait on de l'internaute qui n'a aucun compte auprès des services comme facebook, twitter, google et autres ???
Tous ces services sont publics et gratuits, si tu n'as pas de compte tu peux très bien t'en faire un (tu t'es bien fait un compte pour accéder à un site, rien ne t'empêche d'en faire un chez Twitter à la place, même si tu n'utilises pas Twitter directement).

testabc Messages postés 33 Date d'inscription jeudi 17 juillet 2008 Statut Membre Dernière intervention 23 juillet 2014
2 nov. 2011 à 11:59

coucou747 et sazaju : les connexions centralisées ne sont "vraiment pas cool" pour les utilisateurs

Que fait on de l'internaute qui n'a aucun compte auprès des services comme facebook, twitter, google et autres ???
Certes ça fait moins de boulot aux devs mais d'un point de vue ergonomie, c'est lamentable...

Plus : Imaginons tu te fais pirater ton compte google, donc tes mails et du coup tes accès a tous les sites "vraiment cool".... puisque ça évite d'avoir à retenir tous ses identifiants/mots de passe bref

Il ne faut pas mettre tous ces oeufs dans le meme panier...

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
2 nov. 2011 à 11:04

J'avoue être moi-même plutôt fan des connexions centralisées (ça évite d'avoir à retenir tous ses identifiants/mots de passe) et vérification captcha (surtout reCAPTCHA).

coucou747 Messages postés 12303 Date d'inscription mardi 10 février 2004 Statut Membre Dernière intervention 30 juillet 2012 44
2 nov. 2011 à 10:28

et bien on a le même problème avec les reconaissances : si t'as une vidéo capturée par la caméra du pc, t'as l'accès. ça ne protège pas contre les spywares.

Je pense qu'il n'existe pas de protection théoriquement fiable contre les systèmes infectés.

Personellement, je pense que laisser google et autre nous authentifier est une bonne chose : ils ont un captcha plutot bon, ils font des vérifications sur les passwords, ça fait moins de passwords a retenir pour nos utilisateurs, et ils font attention à ne pas perdre celui-la (et de toute façon, google propose de t'envoyer un nouveau password sur ton téléphone portable maintenant...)

Bref, les authentifications par facebook, twitter, google account (ou openID mais c'est moins répendu) sont vraiment cools pour l'authentification de membres.

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
2 nov. 2011 à 09:27

Note que si l'idée semble fiable vis-à-vis d'un keylogger textuel, tu ne fais que déplacer le problème: si on est capable de récupérer les touches enfoncées, on est aussi capable de récupérer des screens de ton écran: ce que tu tapes devient donc tout aussi visible. Je ne dis pas là que ton système est inutile, mais que si une telle logique se retrouvait utilisée par beaucoup de monde, les keyloggers (logiciels espions qui enregistrent les touches clavier) seraient simplement remplacés par des logiciels espions qui prennent des screens à chaque clic souris. Au final, vu que niveau sécurité les deux systèmes se valent, au niveau pratique on reviendrait vite au premier (taper au clavier) car bien moins long et difficile à utiliser.

En réfléchissant à un niveau plus haut, une autre façon de récupérer le mot de passe : en utilisant du Javascript (capable de lire le DOM lors de l'envoi du formulaire), peu importe comment tu l'as tapé (clavier/clic souris), les données sont récupérées lors de l'envoi. Il ne faut pas oublier que si tu dois mettre un mot de passe, au moins ton ordinateur doit le connaître pour l'envoyer (tu le donnes à ton navigateur -ordinateur- avant de valider). Tant que l'ordinateur est sous surveillance tu peux essayer de cacher tout ce que tu voudras, un logiciel espion bien fait fera toujours son boulot {'^_^}.

Ceux qui ont besoin d'un niveau de sécurité supérieur passent simplement à une reconnaissance vocale ou faciale par exemple (certains PC du commerce proposent déjà ce genre de fonctionnalités). Cela dit, de là à l'appliquer aux sites Web, je ne me souvient pas que quelqu'un s'y soit déjà attelé (prendre une photo via Webcam par exemple, envoyer la photo au site, qui la traite, voit si ça ressemble à ce qu'il a en base de données et valide ou non l'authentification).

Je pense que rajouter une saisie clavier à ton système serait une bonne chose, en essayant d'adapter ton code pour qu'il soit générique (dire de pouvoir rajouter de nouvelles solutions d'identification). Après quoi, essayer de mettre des identifications plus originales (saisie webcam, micro, ... plutôt que souris/clavier) pourrait être un bon exercice. Si après avec ça tu arrives à tirer certains enseignements pour arriver à faire une solution d'authentification qui arrive à fusionner les avantages de chacun et à combler certains inconvénients...

sazaju Messages postés 48 Date d'inscription lundi 4 août 2008 Statut Membre Dernière intervention 3 juin 2013
2 nov. 2011 à 09:07

D'un point de vue sécurité, c'est inutile, c'est comme divulguer le début de manière public : ton mot de passe effectif se réduit à la fin de ce que tu met uniquement (si on s'en tient à la logique du keylogger).

Killer42 Messages postés 5 Date d'inscription dimanche 18 avril 2004 Statut Membre Dernière intervention 22 septembre 2008
1 nov. 2011 à 15:45

Je viens d'y réfléchir de nouveau dans ton sens. Pourquoi ne pas faire les 2 systèmes. La saisie classique au clavier et la fin avec ton système. Dans les 2 cas ou le keylogger ou la personne indiscrète sur ton écran n'a pas le complet ?

ircland Messages postés 99 Date d'inscription mardi 22 août 2006 Statut Membre Dernière intervention 9 septembre 2014
1 nov. 2011 à 15:12

pis les majuscules on fait comment ??

tazgx64 Messages postés 3 Date d'inscription lundi 14 mai 2007 Statut Membre Dernière intervention 31 juillet 2012
1 nov. 2011 à 03:06

Moi je dis que cest comme même génial,c sur c long a tapé un mot de passe avc mais on peut toujours faire que numérique et puis d'ailleurs ...si vous craignié ke dautre ne voi bah yaura ke chez vous ou dans une pièce individuels !jadhère a son script mm si jv apporté une modif mais jtrouve génial..*

*PS:ceci es le premier commantaire depuis ke je me suis inscrit!! :p

Killer42 Messages postés 5 Date d'inscription dimanche 18 avril 2004 Statut Membre Dernière intervention 22 septembre 2008
31 oct. 2011 à 20:57

Je trouve le principe de départ bien et ma banque l'utilise. Effectivement pas moyen de faire retenir le mot de passe par un logiciel. On tape forcement à la main. Par contre le mot de passe devient moins compliqué. La saisie autre que chez sois sans personne dans son dos impossible. Au boulot je n'en parle même pas car la prise (visu) en main à distance devient encore pire. Je préfère un logiciel a cryptage (hachage pour les puristes) fort qui me conserve et me redonne mes mots de passe fort. Je pense a une fausse bonne idée enfin a mon avis.

coucou747 Messages postés 12303 Date d'inscription mardi 10 février 2004 Statut Membre Dernière intervention 30 juillet 2012 44
31 oct. 2011 à 11:12

ouais enfin si tu veux lutter contre les débiles qui copient collent, tu peux juste mettre 1/10 a toute les sources du site.

cs_ghuysmans99 Messages postés 3982 Date d'inscription jeudi 14 juillet 2005 Statut Membre Dernière intervention 30 juin 2013 16
31 oct. 2011 à 11:09

Inutilisable sur un site comme C-S, par exemple. [[D'autres banques utilisent un système avec digicode, bien plus solide mais basé sur un secret ...]] 1/10 car des gens seraient tentés de copier/coller bêtement cette source pas si mal codée, et perso je n'aimerais pas voir beaucoup de sites avec ce genre de login.

coucou747 Messages postés 12303 Date d'inscription mardi 10 février 2004 Statut Membre Dernière intervention 30 juillet 2012 44
31 oct. 2011 à 10:10

Certaines banques utilisent ce système, je ne vois pas pourquoi tu mets 1/10...

cs_ghuysmans99 Messages postés 3982 Date d'inscription jeudi 14 juillet 2005 Statut Membre Dernière intervention 30 juin 2013 16
29 oct. 2011 à 23:04

Malheureusement, ça pourrait avoir un effet contraire : vu qu'il faut beaucoup plus de temps pour taper un mot de passe, les gens auraient tendance à mettre un mdp beaucoup plus court ...

cs_ghuysmans99 Messages postés 3982 Date d'inscription jeudi 14 juillet 2005 Statut Membre Dernière intervention 30 juin 2013 16
29 oct. 2011 à 21:21

Je ne critiquais pas le code, seulement le résultat ... Une petite chose que je ne comprends pas : le modèle n'est-il pas censé contenir tout ce qui est "manip de données" ? Là j'y vois du code HTML, c'est ... bizarre.

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
29 oct. 2011 à 19:16

@ghuy...99: Lol, oui je comprends tu n'avais que 6 ans il y a 10 ans, c'est plus dur de tenir la souris et d’être seul devant son ordi à cet âge.

Je suis flatté de ton 1/10, et j’espère que ça ne ta pas pris trop de temps...

Si il y a quelque chose que tu n'as pas compris dans le code, je peu t'aider :)

Voila une petite info pour commencer : c'est du php !

A+

cs_ghuysmans99 Messages postés 3982 Date d'inscription jeudi 14 juillet 2005 Statut Membre Dernière intervention 30 juin 2013 16
29 oct. 2011 à 08:38

S'il faut 10 ans pour taper son mot de passe je ne pense pas que quelqu'un adoptera ce système un jour. Comme déjà dit plus haut, on n'a pas non plus envie de donner son mdp à celui/ceux derrière nous ...

ircland Messages postés 99 Date d'inscription mardi 22 août 2006 Statut Membre Dernière intervention 9 septembre 2014
28 oct. 2011 à 17:02

"@ircland : Dans ce code c'est un exemple d'utilisation, il ne faut en aucun cas l'utiliser tel quel, le mieu c'est de récupérer les infos d'une DataBase ou simplement de le crypter en md5 ou autre. A+ " entre moi et toi, je suis d'accord mais combien de personne crois-tu qui vont faire le contraire et avoir la misère de leur vie a copier coller ce code...

Par contre, si tu es seul c'est genial mais peu souvent le cas dans un café internet

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
28 oct. 2011 à 16:49

@ircland: Oui biensur il faut étre seul pour la saisie, mais je pense qu'on est jamais seul sur son ordi aussi il y toujours un trojan qui traine, ou en tout cas c'est invisible, contrairement à quelqu'un qui se tien devant toi et que tu vois. ;)

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
28 oct. 2011 à 16:42

@ircland : Dans ce code c'est un exemple d'utilisation, il ne faut en aucun cas l'utiliser tel quel, le mieu c'est de récupérer les infos d'une DataBase ou simplement de le crypter en md5 ou autre. A+

ircland Messages postés 99 Date d'inscription mardi 22 août 2006 Statut Membre Dernière intervention 9 septembre 2014
28 oct. 2011 à 16:34

J'aime mieux prendre le risque d'un keylogger que d'écrire mon mot de passe en clair sous les yeux de tout le monde... une combine des deux (choix d'écrire ou de cliquer (lorsqu'on est seul...) serait bien...)

mtrix000 Messages postés 31 Date d'inscription mardi 26 août 2008 Statut Membre Dernière intervention 1 novembre 2012
27 oct. 2011 à 08:24

Merci :)

cs_Julien39 Messages postés 6414 Date d'inscription mardi 8 mars 2005 Statut Modérateur Dernière intervention 29 juillet 2020 371
27 oct. 2011 à 08:20

Bonjour,

Tu as oublié de mettre le zip...

SYSTEME D'AUTHENTIFICATION PHP AVEC PROTÉCTION KEYLOGGER

Votre réponse

Discussions similaires