Une critique plutôt sensée des passkeys.

Via SebSauvage.

Un article d'utilité publique. Si si.

Ouuuhhhh j'aurais aimé connaître cette page avant : tous les mots de passe enregistrés liés à votre compte Google !

Si vous avez une fois fait la bêtise de mémoriser un mot de passe dans Chrome, par exemple, il sera lié à votre compte et synchronisé sur les serveurs de Google. Cette page permet de les voir (site, identifiant, mot de passe - oui, en clair !) et - surtout - les supprimer ! Vous pouvez également désactiver la synchronisation depuis là.

A lire avec celui-ci : http://yorickpeterse.com/articles/use-bcrypt-fool/

Il semblerait que la seule façon sécurisée et pérenne de stocker des mots de passe en base de données soit d'utiliser la fonction bcrypt (très lente - c'est le but - et utilise l'algorithme de chiffrement éprouvé Blowfish).

Oubliez ce que vous avez appris avec les sels, les fonctions de hashage et les itérations : elles ne font plus suffisamment le poids à l'heure actuelle face à la puissance des machines et des GPU (sans compter les fermes de calcul spécialement dédiées à cet effet).

Lisez les articles, ils sont bien faits ;)

Une fois de plus, on ne s'improvise pas expert en sécurité...

Un service (disponible sous licence GNU/GPL) pour tester la force de vos mots de passe ! Le plus, c'est qu'il ne calcule pas bêtement le "temps" de crack en fonctionne des caractères présents dans le mot de passe (comme d'autres sites), mais donne leur donne des valeurs pondérées ;)