Après avoir fait parlé de lui début 2009 vis à vis des certificats SSL, la fonction de hashage Message Digest 5 – plus connue sous l’acronyme MD5 – reste aujourd’hui largement utilisée (chez Microsoft notamment). Cette méthode permet d’obtenir l’empreinte MD5 d’une suite de caractères ou plus généralement de fichiers (on parle alors de somme de contrôle ou checksum).

Il est impossible de retrouver la chaine originale à partie du hash mais il est possible de hasher une chaine et de comparer l’empreinte MD5 avec celle d’un mot de passe inconnu. S’ils sont identiques, c’est que nous avons « décodé » la chaine MD5. C’est le principe des Rainbow Table (tables d’arc-en-ciels pour les puristes) : retrouver un mot de passe à partir de son empreinte.

Construire l’empreinte de toutes les combinaisons de lettres, chiffres et caractères spéciaux est impossible car infini. En revan » Lire la suite

Si vous utilisez les fichiers de configuration Apache .htaccess pour protéger l’accès à un répertoire, vous savez que votre fichier .htpasswd doit être composé de :

utilisateur:mot_de_passe_crypte

Sous Linux, il est possible d’obtenir la version cryptée de votre mot de passe via la commande htpasswd :

# htpasswd -n john
New password:
Re-type new password:
john:8LogwM1oTXRNk

Il vous reste à ajouter le couple utilisateur:mot de passe crypté dans votre fichier .htpasswd (john:8LogwM1oTXRNk dans notre cas) à l’aide d’un éditeur tel que vi ou nano.

Mais je trouve cela plutôt fastidieux et en cas d’erreur (espace superflu, faute de frappe, etc.) votre authentification ne fonctionnera pas.

Voici une astuce pour créer ou mettre à jour le mot de passe de l’utilisateur john dans le fichier .htaccess » Lire la suite

Par mesure de sécurité le compte « administrateur » est présent mais désactivé sur Windows Vista et Seven. Alors qu’il était possible de l’utiliser sous Windows XP (avec un double ctrl+alt+supp sur la mire de login), ce n’est plus le cas à partir de la version 6 et supérieure du noyau Windows, autrement dit à partir de Vista.

Ce compte « ‘administrateur » n’apparaît pas non plus dans le panneau de configuration, il est masqué et donc non activable via ce biais.

Bien qu’il soit possible de créer d’autres comptes administrateurs, ils n’ont pas les mêmes droits que le compte « administrateur » qui est un super-utilisateur. » Lire la suite

Que vous soyez un particulier ou une entreprise, vous disposez certainement certainement d’équipements tels que des routeurs, switch (concentrateur), modem, « machin box », etc.

Ces équipements sont protégés par un mot de passe dit « constructeur » définit usine et constituant un premier pallier de sécurité. La première chose à faire lors de l’installation de ce type d’équipement est de changer ce mot de passe par un mot de passe complexe. Complexe ne veut pas forcément dire compliqué à retenir.

Dans le domaine de la sécurité informatique, l’écart entre la théorie et la pratique donne parfois le vertige, rendant à l’échelle mondiale des centaines de milliers de périphériques accessible à tous, de votre Livebox au distributeur de billet du coin de la rue.

» Lire la suite

Après mon précédent billet concernant le cas de l’utilisateur par défaut « admin », j’aborde aujourd’hui le fichier wp-config.php dans ma série « Comment sécuriser un blog WordPress ».

» Lire la suite