Une notion élémentaire de sécurité informatique est de ne jamais stocker un mot de passe en clair. La moindre brèche de sécurité qui donnerait accès à la base de stockage des comptes utilisateurs aurait des conséquences catastrophiques.
Pour éviter un tel problème, on prend l’habitude systématique de hasher les mots de passe. On prend aussi l’habitude de faire ce que l’on appelle « saler » les mots de passe mais je reviendrai là dessus à la fin.
En Java, le code suivant retourne le hash sous la forme d’un tableau de byte. Son avantage est de ne pas se limiter au seul hash MD5.
public byte[] hasher(String toHash, String algorythm) {
byte[] hash = null;
try {
hash = MessageDigest.getInstance(algorythm).digest(toHash.getBytes());
} catch (NoSuchAlgorithmException ex) {
Logger.getLogger(Hasher.class.getName()).log(Level.SEVERE, null, ex);
}
return hash;
}
Le hash MD5 produit un résultat sur 128 bits. Il est le plus souvent écrit comme une suite de 32 caractères hexadécimaux. Cependant, grâce à ce code, on peut aussi hasher des chaines en SHA-1, SHA-256, …
Il existe plusieurs manières de transformer ce tableau de byte en chaîne de caractères lisible. La plus simple que j’ai trouvé est celle ci :
public String toReadable(byte[] hash) {
StringBuilder stringBuilder = new StringBuilder();
for (byte byt : hash) {
String hex = Integer.toHexString(byt);
if (hex.length() == 1) {
stringBuilder.append(0);
stringBuilder.append(hex.charAt(hex.length() - 1));
} else {
stringBuilder.append(hex.substring(hex.length() - 2));
}
}
return stringBuilder.toString();
}
On obtient ainsi un hash de n’importe quelle chaîne, et ce, dans l’algorithme que l’on souhaite.
Maintenant, je vais vous expliquer ce que l’on appelle le sel (salt) et quel est son intérêt.
Un sel est une séquence de bits dont le but est de modifier une séquence originel, dans notre cas, un mot de passe. La séquence peut être aléatoire ou choisie, mise avant ou après, voire même imbriquée. Le but de ce sel est de rendre unique la séquence finale afin de compliquer la tâche d’un attaquant éventuel. Le sel contre particulièrement bien les attaques que l’on appelle attaque par dictionnaire en diminuant les chances que la chaîne se trouve dans l’un d’entre eux.
De plus, même si le hash final ainsi que le sel sont trouvés, il faudrait générer un dictionnaire par sel. Autant dire une tâche longue et fastidieuse à laquelle aucun attaquant ne se lance tellement sa rentabilité est faible.