Cette solution m’avait attiré il y a des années ! En effet, nous avions de grave problème de sécurité dans la boite où je travaillais. Et donc la possibilité de travailler avec d’autre mot de passe que toto ou Password123! me tentait. Après réflexion, le fait de dériver des mots de passe à partir d’un mot unique “Master Key” nous posait problème car le turn over était vraiment important et il aurait fallu changer le mot de passe Master et tous les mots de passe des clients. De plus avec certains clients {:-) nous avions quand même des mots de passe fort et des procédures 2FA (ou une technologie équivalente) et donc le fait de posséder deux référentiels pour les mots de passe nous a arrêter dans la mise en production de LessPass !
What this seems to be, in essence: password = HMAC(key, website).
Why this is bad, compared to an encrypted on-disk key store:
1. A password is now ciphertext, not a block of line noise. Every time you transmit it, you are giving away potential clues of use to an attacker.
2. The search space for possible passwords is bounded if you know the website. You are subject to key guessing attacks. If your key is short, pure serial guessing will break it fast.
3. They don’t need any access to you or your stuff, to guess a key. They don’t even need access to the server, it can be guessed on an unrelated machine. You don’t have the opportunity to detect a break-in and neither does your bank, etc.
4. You only have one password for all the sites, really, underneath, and it’s your secret key. If it’s broken, it’s now a skeleton-key and your digital ass is theirs.
Acte 3
Voici la traduction de monsieur Google :
<<
Ce que cela semble être, en substance: mot de passe = HMAC (clé, site Web).
Pourquoi c’est mauvais, par rapport à un stockage de clés chiffré sur disque:
Un mot de passe est maintenant un texte chiffré, pas un bloc de bruit de ligne. Chaque fois que vous le transmettez, vous donnez des indices potentiels d’utilisation à un attaquant.
L’espace de recherche des mots de passe possibles est limité si vous connaissez le site Web. Vous êtes soumis à des attaques de devinettes clés. Si votre clé est courte, une pure estimation sérielle la cassera rapidement.
Ils n’ont pas besoin d’accéder à vous ou à vos affaires pour deviner une clé. Ils n’ont même pas besoin d’accéder au serveur, cela peut être deviné sur une machine indépendante. Vous n’avez pas la possibilité de détecter une effraction et votre banque non plus, etc.
Vous n’avez qu’un seul mot de passe pour tous les sites, vraiment, en dessous, et c’est votre clé secrète. S’il est cassé, c’est maintenant une clé squelette et votre cul numérique est à eux.
Acte 4
Si j’utilisais cette méthode de mot de passe, vu que mon profil est public sur le journal du hacker, une personne mal intentionnée n’a même pas besoin de se connecter à mon ordinateur pour connaître mon mot de passe !
Acte 1
Cette solution m’avait attiré il y a des années ! En effet, nous avions de grave problème de sécurité dans la boite où je travaillais. Et donc la possibilité de travailler avec d’autre mot de passe que toto ou Password123! me tentait. Après réflexion, le fait de dériver des mots de passe à partir d’un mot unique “Master Key” nous posait problème car le turn over était vraiment important et il aurait fallu changer le mot de passe Master et tous les mots de passe des clients. De plus avec certains clients {:-) nous avions quand même des mots de passe fort et des procédures 2FA (ou une technologie équivalente) et donc le fait de posséder deux référentiels pour les mots de passe nous a arrêter dans la mise en production de LessPass !
Acte 2
Lecteur assidus de new, quel ne fut ma surprise de tomber sur cette critique à https://news.ycombinator.com/item?id=12889807 :
<<
What this seems to be, in essence: password = HMAC(key, website).
Why this is bad, compared to an encrypted on-disk key store:
1. A password is now ciphertext, not a block of line noise. Every time you transmit it, you are giving away potential clues of use to an attacker.
2. The search space for possible passwords is bounded if you know the website. You are subject to key guessing attacks. If your key is short, pure serial guessing will break it fast.
3. They don’t need any access to you or your stuff, to guess a key. They don’t even need access to the server, it can be guessed on an unrelated machine. You don’t have the opportunity to detect a break-in and neither does your bank, etc.
4. You only have one password for all the sites, really, underneath, and it’s your secret key. If it’s broken, it’s now a skeleton-key and your digital ass is theirs.
Acte 3
Voici la traduction de monsieur Google :
<< Ce que cela semble être, en substance: mot de passe = HMAC (clé, site Web). Pourquoi c’est mauvais, par rapport à un stockage de clés chiffré sur disque:
Un mot de passe est maintenant un texte chiffré, pas un bloc de bruit de ligne. Chaque fois que vous le transmettez, vous donnez des indices potentiels d’utilisation à un attaquant.
L’espace de recherche des mots de passe possibles est limité si vous connaissez le site Web. Vous êtes soumis à des attaques de devinettes clés. Si votre clé est courte, une pure estimation sérielle la cassera rapidement.
Ils n’ont pas besoin d’accéder à vous ou à vos affaires pour deviner une clé. Ils n’ont même pas besoin d’accéder au serveur, cela peut être deviné sur une machine indépendante. Vous n’avez pas la possibilité de détecter une effraction et votre banque non plus, etc.
Vous n’avez qu’un seul mot de passe pour tous les sites, vraiment, en dessous, et c’est votre clé secrète. S’il est cassé, c’est maintenant une clé squelette et votre cul numérique est à eux.
Acte 4
Si j’utilisais cette méthode de mot de passe, vu que mon profil est public sur le journal du hacker, une personne mal intentionnée n’a même pas besoin de se connecter à mon ordinateur pour connaître mon mot de passe !