'Saluage'
Salting
Définition de Salting
Le salting est une technique utilisée pour protéger les mots de passe en ajoutant une chaîne de caractères aléatoire au mot de passe avant de le hacher. Cette chaîne aléatoire, connue sous le nom de "sel," est ensuite stockée aux côtés du mot de passe haché dans une base de données. Le but du salting est d'augmenter la sécurité des mots de passe et de rendre leur déchiffrement plus difficile via la force brute ou des tables pré-calculées comme les tables arc-en-ciel.
Le salting est une étape essentielle dans le hachage des mots de passe car il ajoute de l'imprévisibilité et de l'unicité à chaque mot de passe. En ajoutant un sel, même si deux utilisateurs ont le même mot de passe, les valeurs hachées résultantes seront différentes en raison des sels différents utilisés.
Comment fonctionne le Salting
Lorsqu'un utilisateur crée un mot de passe, une valeur aléatoire (le sel) est générée. Ce sel est ensuite combiné avec le mot de passe avant d'être haché. La valeur hachée, ainsi que le sel, est stockée dans une base de données pour une vérification future.
Par exemple, disons qu'un utilisateur a pour mot de passe "password123" et que le système génère le sel "a8#3B." Le système stockerait alors la valeur hachée de "password123a8#3B" et le sel "a8#3B" dans la base de données.
Lorsque l'utilisateur tente de se connecter, le système récupère le sel associé à son compte et le combine avec le mot de passe fourni. La valeur résultante est ensuite comparée à la valeur hachée stockée. Si elles correspondent, le mot de passe est considéré comme correct.
En utilisant des sels aléatoires, le système garantit que chaque mot de passe est haché différemment, même si les mots de passe originaux sont les mêmes. Cela rend beaucoup plus difficile pour les attaquants de déchiffrer les mots de passe en utilisant des tables pré-calculées ou d'autres formes d'attaques par force brute.
Avantages du Salting
Le salting offre plusieurs avantages pour la sécurité des mots de passe :
Complexité accrue : En ajoutant un sel aléatoire à chaque mot de passe, la complexité des valeurs hachées est considérablement augmentée. Cette complexité rend plus difficile pour les attaquants de deviner ou de déchiffrer les mots de passe en utilisant des techniques courantes.
Hachages uniques : Même si deux utilisateurs ont le même mot de passe, le sel garantit que leurs valeurs hachées seront différentes. Cela protège contre les attaques par tables arc-en-ciel, qui reposent sur des tables pré-calculées de hachages de mots de passe.
Protection contre les attaques par dictionnaire : Les attaques par dictionnaire impliquent l'utilisation d'une liste de hachages pré-calculés pour des mots de passe couramment utilisés et leur comparaison avec des valeurs hachées. En utilisant des sels, même les mots de passe courants auront des hachages uniques, rendant les attaques par dictionnaire moins efficaces.
Résilience aux attaques par tables arc-en-ciel : Les tables arc-en-ciel sont de grandes bases de données de hachages pré-calculés pour une large gamme de mots de passe possibles. Le salting rend l'utilisation des tables arc-en-ciel inefficace car chaque mot de passe salé a un hachage unique, garantissant que les mots de passe originaux ne peuvent être facilement rétro-conçus.
Bonnes pratiques pour le Salting
Lors de la mise en œuvre du salting pour le hachage des mots de passe, il est essentiel de suivre des bonnes pratiques pour garantir une sécurité maximale :
Utiliser un algorithme de hachage robuste : Choisissez un algorithme de hachage sécurisé tel que bcrypt ou SHA-256. Ces algorithmes sont spécifiquement conçus pour être coûteux en calcul, rendant difficile pour les attaquants de déchiffrer les mots de passe hachés même avec accès au sel.
Générer des sels aléatoires : Chaque sel doit être unique et généré aléatoirement pour chaque mot de passe. Cela empêche les attaquants d'utiliser des tables pré-calculées ou des tables arc-en-ciel pour déchiffrer plusieurs mots de passe simultanément.
Stocker les sels en toute sécurité : Les sels doivent être stockés aux côtés des mots de passe hachés. Cependant, ils doivent être stockés séparément de la base de données ou du système d'authentification pour empêcher l'accès non autorisé.
Mettre à jour régulièrement les algorithmes de hachage : Suivez les dernières avancées dans les algorithmes de hachage des mots de passe et mettez à jour vos systèmes en conséquence. Les nouvelles versions d'algorithmes viennent souvent avec des fonctionnalités de sécurité améliorées capables de résister à des attaques plus sophistiquées.
Envisager d'utiliser un "pepper" : Un pepper est une clé secrète qui est ajoutée au mot de passe et au sel avant le hachage. Contrairement aux sels, les peppers sont stockés séparément des mots de passe hachés, offrant une couche supplémentaire de sécurité. Cependant, il est essentiel de s'assurer que le pepper soit gardé confidentiel et correctement protégé.
En suivant ces bonnes pratiques, vous pouvez vous assurer que vos techniques de salting restent robustes et efficaces contre les menaces de cybersécurité en évolution.
Termes connexes
Hashing : Le processus de conversion des mots de passe en texte clair en une chaîne brouillée de longueur fixe à l'aide d'un algorithme de hachage.
Rainbow Tables : Des tables pré-calculées utilisées pour déchiffrer les mots de passe hachés, souvent atténuées par le salting.