Bonjour tout le monde,
 
Je me demandais quel est le meilleur moyen pour sécuriser un site web PHP/MYSQL qui contiendrai un espace
de stockages pour des documents administratifs. La sécurité est primmordiale pour ce site et je
suis novice.
 Aupravant la solution que j'ai utilisé pour un autre projet c'est enregistrement du user/pass dans le SGBD cryptage  
md5 du pass avec la fonction PHP. Je sais pas si c'est suffisant ? Comment peut-on encore améliorer la sécurité ?
 
Merci d'avance.

Salut
 
Le meilleur moyen pour sécuriser un site, c'est de ne pas l'ouvrir au public (le garder uniquement en intranet)
 
Sinon pour répondre plus sérieusement à la question, la solution dont tu parles (login/password dans une bdd avec md5 pour encrypter) a le mérite de fonctionner, mais ça fait longtemps qu'on utilise l'algorithme md5, il commence à montrer des signes de faiblesse. Tu peux utiliser plutôt sha1 par exemple, tout en convervant le même principe. La doc pour cette fonction : http://php.net/sha1
 
Sinon tu as une technique beaucoup plus simple qui consiste à créer un mot de passe avec htpasswd et restreindre l'accès à l'aide d'un fichier .htaccess (exemple ici : http://www.vulgarisation-informatique.com/htpasswd.php)
 
Bon courage

Merci pour la réponse.
Donc d'après toi la solution sha1 est sécuritaire.
Le problème pour htpasswd je ne vois comment ca fonctionne pour tous les utilisateurs qui vont utiliser le service.

Pour le htpasswd, l'idée dans ce que je proposais est plutôt de sécuriser tout ou partie d'un site, au moyen d'un ou plusieurs mots de passes qui ne bougent pas sur la volonté des utilisateurs, mais plutôt du webmaster.  
 
Bien entendu, il est techniquement possible de rendre modifiables ces mots de passe mais c'est la galère comparé à un système géré en base de données.
 
La solution sha1 me semble satisfaisante pour crypter des mots de passe. C'est donc vers cette solution que je te conseille de t'orienter.

Sha1 est plus sécuritaire que md5 (pas mal de sites proposent de retrouver les mots de passes à partir de leur hash md5 au moyen de rainbow tables.)
Au passage, petite confusion deupsi, il s'agit ici de hashage et pas de chiffrement .

Merci. Je vais m'orienter vers Sha1 s'il est plus sécuritaire alors.

t'as intérêt aussi à verrouiller le dossier qui contient tes docs, de façon à ce qu'un gars "qui connait" ne puisse pas filer l'URL à un autre.

Bonjour encore une question.
Dans le cahier des charge il est mentionné un certificat SSL est préférable. Pouvez-vous me renseigner dessus ?
Comment je verrouille le dossier ?
Merci.

pour verrouiller le dossier :
 
- ne faire aucun lien direct vers le fichier, mais un lien du type download.php?file=15 (un id, une référence, peu importe)
 
- si tu veux faire un peu plus, tu peux renommer le dossier à intervalles réguliers. c'est ce que j'ai fait dans un truc que j'ai dév une fois.
 
pour SSL : il faut acheter un certificat et l'importer, selon ton environnement, c'est un peu différent (IIS pour serveur Windows). ton hébergeur doit avoir de la doc là dessus, en tous cas OVH en a.
 
Et ça te permet d'avoir une adresse https://

pour ma part utiliser sha1 au lieu de MD5 améliore de 1% ta sécurité... Il faut déjà qu'une personne sniffe le réseau, puis utilise des rainbows tables pour découvrir le mot de passe. Il faut donc un accès physique. Tu ferais mieux de faire auditer ton code pour éviter les failles d'includes / injection SQL.

Merci. Pour le certificat il faut voir avec l'hébergeur alors.
Sinon j'ai un article pour ce genre de faille de séucrité (injection et autre).

j'ai essayé de trouver la correspondance avec une liste de mots de passes et il y avait pas mal de résultats ! Donc mieux vaut utiliser sha1 amha.

certes, mais cela est dû à la popularité de md5 et non à sa faiblesse point de vue technique.

j'ai pas compris ce que tu voulais dire... tu as cherché a partir d'une empreinte md5 à trouver un message correspondant?

ben disons qu'avec les puissance de calcul d'auj, avec ma machine perso et un soft trouvé sur le net qui exploite en parallèle les 4 core de mon cpu + mon gpu (pas des plus puissants, mais Q6600 + GForce 9500 qd même), ca teste près de 200 millions de possibilités par seconde. c'est à dire qu'il faut de l'ordre d'une journée pour casser un pwd de longueur inférieur ou égale à 8 caractères...

mais je suis pas sur que le sha-1 soit bcp plus armé contre ca... il faut sans doute soit passé au sha-256 ou sha-512, ou alors comme certains l'ont dit, faire une empreinte md5 du pwd, puis une empreinte sha-1 de l'empreinte. ou même une double empreinte md5 : pour trouver la première, il faut déja passer tous les messages de taille 32 (3.44*10^38 possibilités, même à 1milliard d'empreintes testées par secondes, ca fait de l'ordre de 10^21 siècles... on en est pas la. ^^)

non il a utilisé un site qui recences les tuples mot / empreintes. d'où ma remarque.

Salut,
Tu parles de brute-forcer un mot de passe à partir de son "hash" (oui oui c'est pas du chiffrement je sais ^^)
Effectivement ça ne soit pas changer grand chose en brute-force
Mais il existe des sites qui référencent des listes de mots de passes courants avec leur hachage correspondant en md5, tu n'as qu'à entrer le hachage et il te sort le mot de passe s'il le connaît.
Je pense que c'est beaucoup plus dur à trouver pour le sha1.
C'est uniquement à ce niveau, à mon sens, que le sha1 a un intérêt par rapport au md5 (j'ai pas exploré les détails techniques de l'un ou l'autre des algos..)
 
Mais bon pour revenir au sujet, en principe les hachages des mots de passe ne sont pas accessibles aux utilisateurs, donc théoriquement aucune chance de les récupérer même s'ils étaient stockés en clair. Histoire d'être un peu sérieux, on met un chiffrage, mais la complexité de l'algo de chiffrage ne sera pas un énorme gage de sécurité.
 
Comme le disait jagstang les efforts pour la sécurité du site doivent plutôt être portés sur les failles type injection, cross-scripting et compagnie.
 
A+

ok...  
 
mais si j'en crois ce genre de page: http://www.korben.info/comment-dec [...] n-md5.html
 
les meilleurs listes de tuples en contiennent plusieurs dizaines de millions. c'est à dire rien du tout en comparaison du nb de messages possibles sur 8 caractères:  
 
26 minuscules + 26 maj + 10 chiffre + ~30 caractères spéciaux = environ 100 caractères possibles, sur 8 caractères, ca fait 10^16. donc les rainbow tables en sont encore loin. en supposant bien sur que les gens utilisent des pwd suffisamment longs...

cilies1 => En plus du hachage du mot de passe, pense à prévenir les injections SQL. La meilleure solution sont les prepared statement.
 
http://www.siteduzero.com/tutoriel [...] paree.html