Hacher des mots de passe, est-ce la même chose que les chiffrer ?

Non, et pour les mots de passe, le hachage est le bon choix. Le chiffrement est réversible avec une clé : quiconque vole les mots de passe chiffrés et la clé récupère tous les mots de passe. Une empreinte ne se renverse pas : le système ne stocke que l'empreinte et la compare à la connexion. Les hachages rapides ordinaires comme SHA-256 restent un mauvais choix pour les mots de passe, car un attaquant qui vole une base peut tester d'énormes quantités d'essais par seconde sur des cartes graphiques. Utilisez une fonction conçue pour les mots de passe, volontairement lente et avec un sel aléatoire par utilisateur : Argon2id, scrypt ou bcrypt, comme le recommande le guide OWASP sur le stockage des mots de passe. Si un fournisseur ou une vieille application stocke les mots de passe chiffrés, ou hachés avec MD5 ou SHA-1 seuls, traitez-le comme une anomalie à corriger. Pour votre personnel, les gains les plus importants sont ailleurs : l'authentification multifacteur (MFA), un gestionnaire de mots de passe et le blocage des mots de passe réutilisés. Un capteur réseau ne voit pas comment un serveur stocke les mots de passe ; ce contrôle relève d'une revue applicative.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes