Argon2

Vérifier les mots de passe avec un coût de calcul

Argon2 est une famille de fonctions de hachage de mots de passe dont le calcul exige volontairement de la mémoire et du temps. Cela renchérit les essais massifs contre des empreintes de mots de passe volées. OWASP recommande la variante Argon2id pour les nouveaux dispositifs de stockage. Un mot de passe faible reste susceptible d’être trouvé par des essais pertinents.

Une application fictive conserve un enregistrement de vérification produit par sa bibliothèque : variante, paramètres, sel et valeur de vérification dérivée. À la connexion, la bibliothèque utilise ces éléments pour vérifier le mot de passe saisi. Elle ne déchiffre pas le mot de passe d’origine à partir de la valeur stockée.

Choisir les paramètres pour l’exploitation

Le paramètre m décrit la mémoire totale configurée en kibioctets, t le nombre de passes et p les voies de calcul parallèles. La valeur de parallélisme ne multiplie pas en supplément la mémoire totale configurée. Le temps et la mémoire réellement consommés par un appel doivent être étudiés sur la plateforme prévue.

L’équipe choisit les réglages selon les recommandations de sécurité actuelles et des mesures avec le nombre prévu de connexions simultanées. Un coût accru renchérit aussi la vérification légitime ; une surcharge du serveur nuit à sa disponibilité. Une valeur par défaut reprise d’un exemple ne remplace pas ce choix. Le sel et les paramètres restent disponibles avec la valeur de vérification pour contrôler correctement les connexions suivantes.

Sources

• OWASP — Password Storage

• RFC 9106 — Argon2