Le blog de Khaos Farbauti Ibn Oblivion. Une vision du monde cynique et poétique.
Dans la série "Khaos Farbauti Ibn Oblivion est un informatico-geek", le portail Chaos Klub vient de s'enrichir d'un nouvel outil : Un codeur-décodeur de SHA1
Pour ceux qui n'ont qu'une vague idée de ce qu'est le SHA1 il s'agit, en gros, d'une manière de coder une chaine de caractère pour la rendre illisible.
Cette méthode est généralement utilisée pour coder les mots de passe par exemple. (Les services qui ont à coeur la sécurité ne stockent jamais vos mots de passe en clair dans leur base de données)
Cet outil permet donc de coder un texte en SHA1 et, autant que possible, d'effectuer l'opération inverse.
La performance du décodeur s'améliorera au fur et à mesure que j'augmenterais le nombre de "hashes" en base, mais vous pouvez d'ores et déjà vous amusez avec sans retenue.
Que la paix soit avec vous.
URL de rétrolien : https://blog.chaosklub.com/trackback/1444
1 De Izusa Lakota
-
ça fait 3 mètre de long aussi une fois codé, ce qui complique la tâche de l'utilisateur lambda c'est qu'en recopiant ce long code il risque d'oublié un élément qui rendra impossible l'opération inverse quand il en aura besoin...
2 De Khaos Farbauti Ibn Oblivion
-
Je ne suis pas tout à fait sûr que cela s'adresse à l'utilisateur lambda
C'est vrai que la chaine codée fait 41 caractères, mais vu qu'il s'agit d'un algorithme de codage ce n'est pas exactement fait pour être simple (le but est même tout le contraire
)
3 De Izusa Lakota
-
>Je ne suis pas tout à fait sûr que cela s'adresse à l'utilisateur lambda
Bein je trouve ça dommage c'est lui qui a le plus besoin d'être protégé, non ? Le principe est chouette mais je me dis que le decryptage doit être relativement simple à trouver s'il respecte sans arrêt le même type de codage, je m'explique mettons que le "a" soit représenté systématiquement par "7ly6", un logiciel de décryptage ne peut-il pas facilement l'identifier ? Oui je sais je vais chercher loin...
4 De Khaos Farbauti Ibn Oblivion
-
Alors pour ce qui est du fonctionnement du SHA-1, je ne vais pas rentrer dans les détails techniques (l'article de wikipedia, le fait mieux que moi) mais il s'agit d'un codage "à sens unique". Autrement dit il n'est pas possible, à partir d'un hash SHA-1 de recalculer le texte qui en est à l'origine. C'est tout l'intérêt du mécanisme.
Alors à quoi ça sert ? Et bien, c'est principalement utilisé dans les forums ou tout autre application web avec login/mot de passe : L'administrateur technique dispose d'une base de données contenant tous ses utilisateurs. Mais, pour des raisons de sécurité, il n'a pas à connaitre les mots de passe de ses utilisateurs.
Alors comment fait-il ? Et bien lors de ton inscription sur son site, il stocke dans sa base de données le hash sha-1 de ton mot de passe (mais pas le mot de passe, juste son hash). Ensuite à chaque fois que tu te connectes, il convertit le mot de passe que tu lui indiques en SHA-1 et compare avec le hash SHA-1 qu'il a stocké précédemment. Si les 2 chaines codées sont identiques alors cela signifie que tu as rentré le bon mot de passe.
Comme tu le vois avec ce système à aucun moment l'administrateur n'a connaissance de ton mot de passe, tu es la seule à le connaitre. Et lui ne dispose que d'un hash SHA-1 dont il ne peut théoriquement rien faire.
Du coup j'anticipe sur ta question suivante : comment puis-je proposer un codeur/DECODEUR de SHA-1 ? Et bien tout simplement, puisque il n'est pas possible de CALCULER le texte d'origine, le décodeur compare le hash fourni à une liste de correspondance que je lui ai fourni au préalable. Si ton hash est dans la liste alors il n'a plus qu'à regarder le texte d'origine qui correspond et que je lui ai indiqué.
La force du décodeur réside donc dans la taille et la pertinence de sa base de données (actuellement plus d'un million de hashes renseignés). C'est là que réside le défi technique que je me suis fixé.