c2corg/camptocamp.org — pull request #6 by lbesson (2013-11-06 19:28:42+00:00)
Title: Salted passwords

ça n'est pas pour inclusion immédiate, il faudra préalablement passer la prod à squeezy, mais si des gens motivés veulent faire une passe dessus pour vérifier que j'ai pas fait de connerie (vu que ça touche la sécurité)

L'idée c'est qu'actuellement, on stocke juste le hash des mdp dans la base, ce qui est une assez mauvaise pratique, si qqun arrive à récupérer la base, il peut très facilement extraire un gros paquet des mots de passes dedans. Après migration les mots de passes sont stockés avec un sel + bcrypt, ce qui rend la tâche plus compliquée.

Comme on n'a pas les mots de passes des gens, la migration ne peut se faire que lorsqu'une personne se logue. Les autres restent avec l'ancien stockage