Vos avis à propos de MD5

Tony Monast a écrit :
En Coldfusion par exemple, je ne fait qu'indiquer le nom de la datasource dans mes requêtes. En aucun temps les identifiants de la base de données sont dans les fichiers du site. Ils sont gérés via une interface d'administration, elle-même protégée par mot de passe chiffré. Il y a sans doute une possibilité de le faire aussi dans PHP si on souhaite réellement ne pas afficher en clair le mot de passe de la base de données dans un include.

Cet aspect de Coldfusion (la grosse interface d'admin accessible en mode web sur le serveur qui permet de tout configurer) m'avait interloqué la première fois que j'ai fait du CF, moi qui vient d'un background PHP.
Je ne sais pas comment c'est faisable en PHP, la logique n'est pas la même, CF est vraiment un gros service qui tourne en permanence avec ses layers d'abstraction, son cache interne, etc, etc. C'est un des gros plus que j'ai trouvé à ce langage.

Bref, je m'égare, mais tout cela pour dire que rien que pour masquer aux yeux du webmaster, de l'hébergeur ou de n'importe qui le mot de passe en clair des utilisateurs, il faut hasher les mots de passe.
Et les salter pour éviter que la compromission de cette base puisse atteindre d'autres bases grâce a des rainbow tables.

Et ce n'est pas parce que certaines gros sites (Monster par exemple) ne prennent pas ce genre de précautions qu'on ne doit pas le faire sur nos sites à plus petite envergure.