SYSTEME D'AUTHENTIFICATION PHP AVEC PROTÉCTION KEYLOGGER

Commentaire de mtrix000 le 27/10/2011 08:24:02

Merci :)

Commentaire de mtrix000 le 28/10/2011 16:42:41

@ircland : Dans ce code c'est un exemple d'utilisation, il ne faut en aucun cas l'utiliser tel quel, le mieu c'est de récupérer les infos d'une DataBase ou simplement de le crypter en md5 ou autre. A+

Commentaire de ircland le 28/10/2011 17:02:29

"@ircland : Dans ce code c'est un exemple d'utilisation, il ne faut en aucun cas l'utiliser tel quel, le mieu c'est de récupérer les infos d'une DataBase ou simplement de le crypter en md5 ou autre. A+ " entre moi et toi, je suis d'accord mais combien de personne crois-tu qui vont faire le contraire et avoir la misère de leur vie a copier coller ce code...

Par contre, si tu es seul c'est genial mais peu souvent le cas dans un café internet

Commentaire de mtrix000 le 29/10/2011 19:16:58

@ghuy...99: Lol, oui je comprends tu n'avais que 6 ans il y a 10 ans, c'est plus dur de tenir la souris et d'être seul devant son ordi à cet âge.

Je suis flatté de ton 1/10, et j'espère que ça ne ta pas pris trop de temps...

Si il y a quelque chose que tu n'as pas compris dans le code, je peu t'aider :)

Voila une petite info pour commencer : c'est du php !

A+

Commentaire de ghuysmans99 le 29/10/2011 23:04:48

Malheureusement, ça pourrait avoir un effet contraire : vu qu'il faut beaucoup plus de temps pour taper un mot de passe, les gens auraient tendance à mettre un mdp beaucoup plus court ...

Commentaire de ghuysmans99 le 31/10/2011 11:09:08

Inutilisable sur un site comme C-S, par exemple. [[D'autres banques utilisent un système avec digicode, bien plus solide mais basé sur un secret ...]] 1/10 car des gens seraient tentés de copier/coller bêtement cette source pas si mal codée, et perso je n'aimerais pas voir beaucoup de sites avec ce genre de login.

Commentaire de Killer42 le 31/10/2011 20:57:21

Je trouve le principe de départ bien et ma banque l'utilise. Effectivement pas moyen de faire retenir le mot de passe par un logiciel. On tape forcement à la main. Par contre le mot de passe devient moins compliqué. La saisie autre que chez sois sans personne dans son dos impossible. Au boulot je n'en parle même pas car la prise (visu) en main à distance devient encore pire. Je préfère un logiciel a cryptage (hachage pour les puristes) fort qui me conserve et me redonne mes mots de passe fort. Je pense a une fausse bonne idée enfin a mon avis.

Commentaire de ircland le 01/11/2011 15:12:54

pis les majuscules on fait comment ??

Commentaire de sazaju le 02/11/2011 09:07:02

D'un point de vue sécurité, c'est inutile, c'est comme divulguer le début de manière public : ton mot de passe effectif se réduit à la fin de ce que tu met uniquement (si on s'en tient à la logique du keylogger).

Commentaire de coucou747 le 02/11/2011 10:28:14 administrateur CS

et bien on a le même problème avec les reconaissances : si t'as une vidéo capturée par la caméra du pc, t'as l'accès. ça ne protège pas contre les spywares.

Je pense qu'il n'existe pas de protection théoriquement fiable contre les systèmes infectés.

Personellement, je pense que laisser google et autre nous authentifier est une bonne chose : ils ont un captcha plutot bon, ils font des vérifications sur les passwords, ça fait moins de passwords a retenir pour nos utilisateurs, et ils font attention à ne pas perdre celui-la (et de toute façon, google propose de t'envoyer un nouveau password sur ton téléphone portable maintenant...)

Bref, les authentifications par facebook, twitter, google account (ou openID mais c'est moins répendu) sont vraiment cools pour l'authentification de membres.

Commentaire de testabc le 02/11/2011 11:59:56

coucou747 et sazaju : les connexions centralisées ne sont "vraiment pas cool" pour les utilisateurs

Que fait on de l'internaute qui n'a aucun compte auprès des services comme facebook, twitter, google et autres ???
Certes ça fait moins de boulot aux devs mais d'un point de vue ergonomie, c'est lamentable...

Plus : Imaginons tu te fais pirater ton compte google, donc tes mails et du coup tes accès a tous les sites "vraiment cool".... puisque ça évite d'avoir à retenir tous ses identifiants/mots de passe bref

Il ne faut pas mettre tous ces oeufs dans le meme panier...

Commentaire de coucou747 le 02/11/2011 17:53:59 administrateur CS

Je ne connais personne sur internet qui n'ai ni :
  - facebook
  - openid
  - twitter
  - gmail

tout en étant inscrit ailleur...

De plus, s'authentifier revient parfois a ne cliquer que sur :
- se connecter avec X
- autoriser Y a accèder aux informations ...

Donc c'est un processus beaucoup plus rapide pour l'utilisateur.

Commentaire de sazaju le 03/11/2011 11:05:35

"créer un compte chez une entité afin d'accéder à un service qui n'a au final aucun rapport avec... "
Je comprends le point de vue, cela dit si on prend en compte le fait que ce sont (facebook et twitter notamment) des services dont l'objectif est de mettre en place des reseaux sociaux, on ne peut pas dire non plus que partager une meme connexion sur differents sites soit completement denue de sens. Dans le cas de Google, bien qu'il ait aussi ce genre de fonctionnalites, il fait plein d'autre chose, donc dans son cas c'est plus pour dire de "centraliser" que de "lier".

"De plus, rien ne nous dit qu'il n'y a pas d'échange de données entre les sites."
C'est une remarque que j'aime bien, parce qu'elle souligne l'ignorance des utilisateurs vis-a-vis du site auquel ils se connecte. Mais je tiens a rappeler que c'est vrai pour a peu pres tous les sites. En fait, seuls ceux que tu as fait toi meme sont garanti sans echange de donnees (et encore, ca depend si tu installes des modules fait par d'autres, ...). C'est une question de confiance. Et s'il semble naturel de ne pas faire confiance aux grosses boites, parce qu'elles ont plus de raisons (commerciales) d'echanger des donnees, elles ont aussi plus de raison (de marque) de ne pas le faire, car si quelqu'un s'en rend compte ou qu'il y a une fuite, ca fera bien plus de bruit que si le probleme vient d'un site perso (et via Internet c'est bien plus brutal qu'une simple rumeur qui passe aux JT). Il ne faut pas regarder seulement le verre a moitie vide, il est aussi a moitie plein {^_^}.

Commentaire de sazaju le 03/11/2011 11:33:36

Mais la le lien est evident : tu preferes donner tes donnees bancaires a un site verifie unique plutot qu'a tous les sites d'achats que tu utilises. La on a la meme idee pour la connexion, elle est juste moins evidente mais tout aussi justifiee. C'est une question de point de vue apres. Il y en a qui prefere morceler pour eviter que tout tombe en miette si le serveur principal est down, c'est une logique de base pour la fiabilite : un serveur redondant est mieux qu'un serveur unique (et ca justifie parfaitement la remarque de TESTABC). Mais la logique est inversee lorsqu'on parle de securite (au sens du maintien du secret), car qui dit redondance dit multiplication des possibilites de crack. Ou de maniere plus generale, plus de personnes connaissent le secret, donc il a plus de chances d'etre ebruite.

Faut prendre les jumelles dans le bon sens on va dire {'^_^}.

Commentaire de sazaju le 03/11/2011 18:22:09

Toute idee du siecle commence par un passe temps, ne neglige pas les productions volontaires {^_°}. C'est comme ca qu'on finit par bosser dans ce qu'on aime, sinon ca restera toujours un passe temps.

Commentaire de sazaju le 03/11/2011 18:54:24

J'ai bien parler de l'ignorance des utilisateurs, donc oui je m'inclus dedans. Le fait est qu'on ne peut pas savoir ce qu'il en est a moins de mettre son nez dans le code et de le comprendre de bout en bout. Il y a forcement une grosse part de confiance. Qu'on parle d'ethique ou pas d'ailleurs : la confiance ca se gagne durement mais ca se perd facilement, c'est pas comme si Google ou facebook jouaient a coup de cartes de fidelite.

Et non je travaille pas chez FB, je suis doctorant en informatique en Italie {^o^} muahaha ! Voila, ca c'etait pour l'ego.

Cela dit si toi tu te fais des adresses a la volee avec ton propre domaine et tout, ce style de procedure ne concerne qu'une poignee d'individus. Tu ne peux pas critiquer une solution grand public sous pretexte que ce n'est pas compatible avec une utilisation qui t'es propre. Tu as choisis de faire comme ca, mais personne ne t'y a oblige. C'est comme aller critiquer le boulanger du coin sous pretexte qu'il fait des pains au chocolat avec des barrettes de chocolat alors que toi tu te les fait au nutella.

Bon cela dit on debat sur le bien fonde des connexions centralisees alors que c'est pas le sujet {'^_^} desole de polluer ton topic mtrix000.

Commentaire de Killer42 le 03/11/2011 23:22:08

Mtrix000: Je suis un peu comme toi pour les sites ou j'ai des données personnelles. Un pass complexe aléatoire impossible à retenir enfin pour moi ;) et pas de lien (mail identique). Un pass générique comme le commun des mortels pour les sites ou tu t'inscris sans données personnels ou bidon et pour de la consultation. Je suis encore d'accords sur le type de protection et la durée de vie des données. La ou je ne suis pas d'accord est sur le travail pour de l'argent. Ton code en est un très bon exemple. Les codes et autres très propre arrive uniquement des passionnés avec aussi l'aide de discutions constructive sur les forums. Les boites on besoin de rentabilité. Il on vendu ton code avant même que tu l'ais pondu. Un truc qu'il ne faux pas se cacher est que plus il y a de néophytes ou de personnes ne voulant pas se prendre la tête avec des pass complexe etc... plus nous sommes tranquille.