Différences

Ci-dessous, les différences entre deux révisions de la page.

--- bloc3:phpmyadmin [2022/09/21 09:56] – créée admin
+++ bloc3:phpmyadmin [2023/03/29 14:40] (Version actuelle) – [La sécurisation de l'authentification] admin
@@ Ligne 1: / Ligne 1: @@
 ====== Configurer la sécurité de PhpMyAdmin ======
+La configuration de PhpMyAdmin se fait au sein du fichier **.\xampp\phpMyAdmin\config.inc.php**
+La sécurité pour ce produit s'envisage sous deux angles.
+===== L'authentification =====
+Par défaut, PhpMyadmin est livré avec un compte **root** sans mot de passe et accompagné d'un **auto-login**. Deux actions sont donc nécessaires pour protéger l'environnement. D'abord, attribuer un mot de passe au compte root :
+Ensuite, désactiver l'auto-login. Rechercher dans **config.inc.php** la variable **$cfg['Servers'][$i]['auth_type']**
+ et adapter sa valorisation : "config" (auto-login) ou "cookie" (login form)
+<code php>$cfg['Servers'][$i]['auth_type'] = "cookie";</code>
+===== La sécurisation de l'authentification =====
+Une fois activée l'authentification, le système de chiffrage nécessite d'être sécurisé par une clé secrète (une forme de [[https://fr.wikipedia.org/wiki/Salage_(cryptographie)|salage]]).\\ \\ En effet, les mots de passes vont être stockés dans des cookies sous leur forme chiffrée. Ils seront donc accessibles à tout un chacun sous cette forme.\\ \\ Connaissant l'algorithme de chiffrage habituellement utilisé par l'environnement, un pirate pourrait disposer de suffisamment de temps pour cracker le mot de passe capté.\\ \\ Aussi, afin de rendre la tâche d'un pirate beaucoup plus compliquée, on va intégrer au chiffrage une clé secrète propre à l'installation, sous la forme d'une chaîne de caractères. Pour cela, il faut intervenir sur la variable **$cfg['blowfish_secret']**, dans le même fichier, en lui attribuant une valeur textuelle aléatoire d'au moins 32 caractères :
+<code php>$cfg['blowfish_secret'] = "remplacer par une chaine aléatoire d'au moins 32 car.";</code>