hachage md5 pour la chaîne de mot de passe dans GWT/GWT-Ext?

Question

J'essaie actuellement de modifier une application GWT-Ext existante, qui utilise des mots de passe en texte clair dans sa base de données MySql. Mon plan était d'utiliser les hachages md5, car les mots de passe existants peuvent être facilement modifiés avec la fonction MySql et je m'attendais à trouver une solution facile pour le côté GWT-Ext. Mais comme je l'ai découvert, java.security n'est pas supporté par GWT et il ne semble pas y avoir d'autre implémentation qui puisse être utilisée pour changer la chaîne de mot de passe en un hachage md5 du côté client.

seule « solution » je l'ai trouvé jusqu'à présent, est de nouveau mettre en œuvre une méthode md5 via JSNI comme décrit ici: http://groups.google.com/group/Google-Web-Toolkit/browse_thread/thread/ad09475a9944c9f8

Il existe une extension d'utilisateur existant pour Ext-JS, mais je ne pouvais pas trouver quoi que ce soit pour GWT-Ext: http://extjs.com/forum/showthread.php?p=133516

Est-ce que quelqu'un connaît un moyen plus élégant/simple pour résoudre ce problème? Peut-être que je devrais utiliser quelque chose d'autre au lieu de md5 pour m'assurer que les mots de passe sont cryptés?

Vive Frank

Answer 1

Personnellement, je dirais que vous faites mal. Je ne voudrais pas hacher un mot de passe du côté du client (ce qui est ce que GWT est). Si vous hachez votre mot de passe, vous voudrez sans doute le saler, sinon vous serez vulnérable aux attaques rainbow. Si vous le hachez + le sel du côté client, votre sel sera accessible à vos utilisateurs.

Si j'étais vous, je voudrais hacher + votre mot de passe du côté du serveur. Cela vous permettra d'utiliser votre code Java standard pour effectuer votre hachage MD5.

Mes 2 cents.

-JP

Answer 2

Une autre idée qui peut répondre à vos besoins est ce qu'on appelle la connaissance nulle auth. En règle générale, lors de la définition du mot de passe initial, le client hache le mot de passe de l'utilisateur N fois (où N est un nombre grand comme 1000), puis envoie le mot de passe initial de l'utilisateur. Ce hachage final au serveur avec N. Le serveur stocke le hachage et N.

Plus tard, lorsque l'utilisateur veut s'authentifier, le serveur indique au client N-1, et le client hache le mot de passe que l'utilisateur tape N -1 fois et l'envoie au serveur. Le serveur fait 1 hachage de plus sur le hachage reçu, et (espérons-le) obtient le hachage stocké. Le serveur stocke ensuite le hachage N-1 et le numéro N-1.

Chaque fois que l'utilisateur s'authentifie, le serveur décrémente le N stocké et enregistre le hachage précédent.

Lorsque N descend à 0, l'utilisateur doit choisir et définir un nouveau mot de passe.

Le serveur doit s'assurer qu'il ne demande jamais la même itération, sinon il est vulnérable à une relecture. Vous ne pouvez pas vraiment appliquer cette condition du côté du client car le client (en particulier un navigateur) ne peut pas garder la trace du dernier N.

Answer 3

Vous pouvez utiliser gwt-crypto pour générer SHA-1 hash sur le côté client à l'aide:

String getSHA1for(String text) { 
    SHA1Digest sd = new SHA1Digest(); 
    byte[] bs = text.getBytes(); 
    sd.update(bs, 0, bs.length); 
    byte[] result = new byte[20]; 
    sd.doFinal(result, 0); 
    return byteArrayToHexString(result); 
} 

String byteArrayToHexString(final byte[] b) { 
    final StringBuffer sb = new StringBuffer(b.length * 2); 
    for (int i = 0, len = b.length; i < len; i++) { 
    int v = b[i] & 0xff; 
    if (v < 16) sb.append('0'); 
    sb.append(Integer.toHexString(v)); 
    } 
    return sb.toString(); 
} 

Answer 4

Vous ne devez jamais utiliser un md5 ou d'autres fonctions de hachage pour le chiffrement des mots de passe. Voir http://codahale.com/how-to-safely-store-a-password/