---

 Crypter en md5

---

Qu'est-ce que le MD5?

L'algorithme MD5 (abréviation de Message Digest 5), est une fonction de hachage cryptographique datant de 1991 réalisé par Ronald Rivest. Celui-ci permet d'obtenir l'empreinte numérique d'un message (fichier, chaine de caractères) de 128 bits. En effet, le MD5 n'est pas de l'encryptage, le texte original est perdu dans le processus voilà pourquoi on parle de "hashage". Le MD5 est un moyen rapide de crypter les mots de passe pour un site Internet. Même si on vous déconseille de le faire pour des raisons de sécurité.

Comment cryptez sois-même en MD5?

De nombreux langages l'interprête en natif comme par exemple le php ou java :

PHP

$text = 'Votre chaine à crypter';
$text_hashed = md5($text);

Java

import java.security.*;
..
String yourString = "votre chaine à crypter mot de passe";
byte[] bytesOfMessage = yourString.getBytes("UTF-8");

MessageDigest md = MessageDigest.getInstance("MD5");
byte[] thedigest = md.digest(bytesOfMessage);

BigInteger bigInt = new BigInteger(1,thedigest);
String hashtext = bigInt.toString(16);
while(hashtext.length() < 32 ){
	hashtext = "0"+hashtext;
}

Est-ce que le MD5 est sécurisé?

Malheureusement cela fait un moment que le MD5 n'est plus considérer comme sur. Depuis 1996, une faille qualifiée de "grave" est découverte (possibilité de créer des collisions à la demande). On vous conseille donc d'abondonner le MD5 au profit du SHA-1 (et encore) ou de bcrypt.

Si vous utilisez encore MD5 pour vos mots de passe, cela est mal!

Souvent avec les mots de passe, en tant que développeur, la technique la plus simple est de sauvegarder un hash. Le chiffrement est irréversible, histoire de ne pas retrouver le mot de passe. Voilà pourquoi si vous perdez votre mot de passe, sur un site e-commerce, on vous regénère un nouveau password.

Le hachage peut faire que plusieurs password différents ont avec le même hachage. Ceci n'est pas spécialement un problème puisqu'on l'associe avec un login..

Le soucis est plus les attaques du type brute-force ou bien par dictionnaire « inverse ».

Les attaques du type « brute force »

Pour les attaques en "brute-force", les hackers utilisent 2 méthodes pour arriver à leur fin. Soit ils génèrent des password via une boucle, et réalisent une tentative de login. A chaque itération, ils changent un caractère en espérant tomnber sur le bon password. Cette technique n'est pas efficace et elle est surtout très longue. L'autre technique est de récupérer le hash md5 du mot de passe directement de la base de données. Ensuite en lançant des calculs de hash. Dès qu'ils trouvent le même hash , c'est que le mot de passe est valide.

Les attaques par dictionnaire « inverse »

Le calcul md5 est simple et rapide. Il est très simple d'obtenir un dictionnaire de hash et de comparer les hash afin de trouver le password. Pour vous en convaincre, nous allons vous montrer qu'il est facile de retrouver un mot de passe avec uniquement le hash.

Comment trouver un mot de passe à partir d'un MD5 ?

Avant faisons un peu d'histoire, à la base le MD5 a été prévu pour créer des hashs uniquement de messages ou de fichiers dans le but de controler si le fichier n'a pas été corrompu lors d'un transfert. Donc maintenant il est simple de trouver un mot de passe valide à partir d'un MD5. Allez faire un tour sur le site CrackStation prenons l'exemple du mot "azerty". Si on indique le MD5 : 5f4dcc3b5aa765d61d8327deb882cf99

Mot de passe trouvé par CrackStation : azerty

Donc il est fortement conseillé d'appliquer d'autres algo tel que le sha1 ou bcrypt.