Wordpress utilisera bcrypt pour le hachage des mots de passe. SPIP le fait déjà depuis longtemps !
jeudi 1 janvier 1970 à 01:00J'ai vu un post Linkedin passé qui met en avant l'annonce/article suivant : WordPress 6.8 will use bcrypt for password hashing, associé au commentaire suivant
En commentant (je cite le post en entier)
RIP la bonne vieille "astuce" de réinitialisation de mot de passe via PHPMyAdmin. Avec la version 6.8, WordPress remplace le vieil algorithme de chiffrement MD5 par bcrypt, proposant de meilleures garanties de sécurité.
Ça va avoir un effet annexe, celui de ne plus permettre de réinitialiser un mot de passe perdu en passant directement par PHPMyAdmin et en enregistrant le nouveau mot de passe en MD5, astuce bien connue des forums… mais carrément pas super secure en terme de procédure… Un mal pour un bien !
Utilisateur de SPIP, je me suis posé la question de ce qu'il en est...
# Et côté SPIP ?
La section suivante a été rédigée à base de l'IA Mistral (c'est assumé, je teste l'IA en question)
Début du texte généré par IA
Dans le CMS SPIP, les mots de passe sont stockés de manière sécurisée en utilisant un mécanisme de hachage avec un sel (salt). Voici comment cela fonctionne :
1. Fonction de hachage : SPIP utilise la fonction de hachage password_hash() de PHP, qui est une fonction sécurisée et recommandée pour le hachage des mots de passe. Cette fonction utilise l'algorithme bcrypt par défaut, mais peut également utiliser d'autres algorithmes comme Argon2 ou scrypt, selon la configuration du serveur.
2. Utilisation du sel : La fonction password_hash() génère automatiquement un sel unique pour chaque mot de passe. Ce sel est inclus dans le hachage final, ce qui signifie que même si deux utilisateurs ont le même mot de passe, les hachages stockés en base de données seront différents. Cela renforce la sécurité en rendant plus difficile les attaques par table arc-en-ciel (rainbow table attacks).
3. Stockage en base de données : Le hachage du mot de passe (qui inclut le sel) est stocké dans la colonne pass de la table spip_auteurs. Lors de la vérification du mot de passe, SPIP utilise la fonction password_verify() de PHP, qui prend en compte le sel inclus dans le hachage pour vérifier si le mot de passe fourni correspond au hachage stocké.
Le mécanisme de hachage des mots de passe utilisant password_hash() et password_verify() a été introduit dans SPIP à partir de la version 3.1, sortie en 2015. Avant cette version, SPIP utilisait une méthode de hachage différente, basée sur l'algorithme MD5 avec un sel. La fonction d'aléa dans le stockage des mots de passe dans le CMS SPIP est apparue avec la version 3.0, sortie en 2012. Cette mise à jour a introduit l'utilisation de "sels" (salts) pour renforcer la sécurité des mots de passe stockés, en ajoutant une composante aléatoire au processus de hachage.
Avec la version 3.1, SPIP a adopté les fonctions de hachage de mot de passe de PHP, qui sont plus sécurisées et conformes aux meilleures pratiques de sécurité modernes. Cette mise à jour a permis de renforcer la sécurité des mots de passe stockés en base de données et de mieux protéger les utilisateurs contre les attaques potentielles.
Fin du texte généré par IA
Avec la 4.1 sortie en 2022 il est apparu un mécanisme complémentaire au salage, le poivrage :
https://blog.spip.net/Sortie-de-SPIP-4-1-0-rc.html, dans toute la section "Poivre, sel & hash du mot de passe "
De nouveau, on demande un peu d'info à l'IA
Début du texte généré par IA
Dans le contexte de SPIP, le "poivre" (ou "pepper" en anglais) est une technique de sécurité supplémentaire utilisée en complément du sel (salt) pour renforcer la sécurité des mots de passe hachés. Voici comment cela fonctionne :
Sel (Salt) : Le sel est une valeur aléatoire unique générée pour chaque mot de passe. Il est stocké avec le hachage du mot de passe et est utilisé pour empêcher les attaques par table arc-en-ciel. Le sel est spécifique à chaque utilisateur.
Poivre (Pepper) : Le poivre est une valeur secrète qui est ajoutée au mot de passe avant le hachage, mais contrairement au sel, le poivre n'est pas stocké avec le hachage du mot de passe. Il est stocké de manière sécurisée dans la configuration du système ou dans un fichier séparé, et il est le même pour tous les utilisateurs. L'idée est que même si un attaquant obtient accès à la base de données des mots de passe hachés, il ne pourra pas reconstituer les mots de passe sans connaître le poivre.
L'utilisation du poivre ajoute une couche supplémentaire de sécurité, car un attaquant devrait non seulement obtenir les hachages des mots de passe, mais aussi le poivre secret, ce qui rend les attaques beaucoup plus difficiles.
Fin du texte généré par IA
