Olivier Doucet

Je reprends un peu le langage C (après plusieurs années sur PHP, où j'ai maintenant un excellent niveau).
Petit pense bête concernant l'utilisation de la librairie MySQL sous Windows :
 Si vous avez une erreur après mysql_real_connect comme quoi "cannot connect to MySQL Server XXXX (0)", alors que vous êtes persuadé que ce serveur existe bien, vérifiez si vous avez bien initialisé votre variable MYSQL avant:

MYSQL mysql;
if(mysql_init(&mysql)==NULL) {
    printf("\nFailed to initate MySQL connection\n");
    return(-1);
 }


En rajoutant ce petit bout de code, le script se met enfin à marcher Bizarrement aucun souci quand le code est compilé sous Linux avec GCC, le souci n'intervient qu'avec Visual C++ 2008 Express...

Je ne trouvais pas de bon titre alors j'ai trouvé un truc bien débile

Je voulais pousser un coup de gueule contre ce genre d'articles : http://mcarthurgfx.com/blog/article/a-basic-lesson-in-password-hashing

Pour moi, ca reste une référence de ce qu'il ne faut PAS faire.

Ce monsieur - que je ne connaissais pas avant de lire l'article - part pourtant d'un excellent constat: les utilisateurs (ou les développeurs de site, ca marche aussi) stockent les mots de passe en clair et c'est mal. Autre mauvaise solution: utiliser un hash tout simple du mot de passe (en l'occurence md5).

Qu'est-ce qu'un hash ? Disons simplement que c'est un algorithme de cryptage à sens unique; Une fois cryptée, la chaine originelle ne peut être retrouvée; Pour savoir si un pass est le bon, on compare celui tapé par l'utilisateur, on l'encrypte de la même façon, et on compare les hash. Si ils sont identiques, la chaine d'origine l'est également (c'est du très très simplifié et donc en partie faux, mais c'est pas la question Geneviève).
Jusque là tout va bien...
Mais là, c'est le drame: l'auteur de l'article propose de rajouter un salt au md5 et de rajouter ce salt au milieu de md5(salt + password) . Une chose est certaine, cet auteur n'a aucune notion de base en sécurité. Simplifions son raisonnement :

un simple MD5, c'est trop simple à crypter, donc on va faire une sauce très compliquée et ca sera plus difficile à trouver.

Dans la même famille de réflexe à la con, je voudrais le md5(md5(md5(password))) .

Comment démonter ce raisonnement ? Et bah c'est pas si évident finalement. Disons qu'à partir du moment où le pirate aura trouvé votre raisonnement, votre base de mot de passe ne va pas tenir longtemps. La génération de dictionnaires, d'autant plus sur l'algo md5, est devenue un passe-temps aussi courant que la pèche à la morue jouer à World of Warcraft.

La complexité, ou ce que j'appellerais aussi "l'obscurité" n'a jamais fait de bonne sécurité. Suffit de regarder le nombre de failles de sécu trouvées dans des logiciels closed-source ... Comme quoi, cela n'a jamais arrêté personne.

La meilleure sécurité et la plus simple, c'est d'imaginer que même avec votre raisonnement, un pirate ne pourra décrypter votre mot de passe. Un simple BLOWFISH, ou alors AES sont de très bons algos parfaitement connus et pourtant aucune faille n'a été trouvé (à condition d'avoir des clefs assez importantes, et que l'ordinateur quantique ne soit pas inventé dans les prochains mois).

Un premier essai de synthé et de logiciel de remix. Je me suis basé sur le thème audio du jeu Zelda afin d'avoir déjà un thème sur lequel broder;

Feedback wanted

j'attaque les choses sérieuses : ma première LFS ! Pour ceux qui comme moi ont choisis de se jeter à l'eau, voici un peu d'aide pour compiler binutils 2.19 tel qu'expliqué ici par exemple. Une compilation en l'état résultera (en tout cas chez moi) par une erreur concernant bfd et int8_t, ou alors une erreur concernant libiberty et des fichiers .h de votre système. J'ai résolu le soucis en appliquant ce patch au source au préalable.

Et voilà ça compile

La fonction in_array peut avoir un comportement tout à fait étrange lorsqu'on utilise la syntaxe par défaut, qui fait une vérification non stricte :

var_dump(in_array('mouhahaha',array(0,1,2))); // bool(true)

Et oui, mon texte est dans ce tableau d'après PHP. Etonnant, non ? Tout simplement parce que PHP va essayer de convertir (cast) les types avant de les comparer. Ma chaîne de caractère, à un moment, vaut 'true' et mon 1 vaut 'true' aussi, d'où l'égalité.

Par contre, si on met les nombres entre quotes comme ceci : var_dump(in_array('mouhahaha',array('0','1','2'))); // bool(false)

Car les chaines étant de même type (string), aucun cast n'a lieu.

Pour éviter les effets de bords et autres mauvaises surprises, utilisez le mode strict qui va également comparer le type de la variable. Pour cela, ajouter un 3e argument à in_array comme ceci :

var_dump(in_array('mouhahaha',array(0,1,2), true)); // bool(false)

Pour stocker un nombre à virgule (un flottant, ou float en anglais) dans MySQL, il existe plusieurs types de colonnes. Mais attention : ils ne sont pas tous identiques. Petite démonstration simple :

• Prenons une table 'test', avec entre autre un champ de type FLOAT(8,2).
• Executez la requete suivante :
  

INSERT INTO `test` (id, flottant) VALUES(4,'446351.74');

• Puis relisez la ligne :

SELECT * FROM `test` WHERE id=4

Voici le résultat:

446351.75

Comment ?? ,75 et non ,74 comme je l'ai demandé ? Et oui, normal vu la méthode de stockage qu'utilise MySQL.

Lire la suite

Grâce au Late Static Binding introduit dans PHP 5.3, la gestion des classes va encore plus loin. Un nouveau mot-clef a été introduit dans le langage, il s'agit de 'static'. Son utilisation ressemble étrangement à 'self', mais il y a une très grande différence entre les deux.

Lire la suite

Toute l'explication des paroles de l'hymne russe enfin en vidéo !

J'ai vu pas mal de méthodes pour stocker un booléen dans SQL. Certaines sont vraiment à éviter, d'autres sont plus faciles, etc. Voici mon (humble) avis sur celles à absolument éviter et les bonnes méthodes.

Lire la suite

... et écrivent particulièrement bien anglais. Je n'ai pas résisté à l'envie de vous montrer ça :

Ca se passe de commentaires