Expression r�guli�re (regex) pour tester le format d'un password

Version imprimable

Voir 40 message(s) de cette discussion en une page

25/02/2016, 11h37
steph68b

Expression r�guli�re (regex) pour tester le format d'un password

Hello,

J'ai �norm�ment de mal avec les regex, �a ne rentre pas dans ma logique (ou vice versa!), je n'y arrive pas, je n'arrive � rien en fait! :mur:

Quelqu'un pourrait-il me monter :hola:une regex permettant de tester le format d'un mot de passe correspondant aux crit�res suivant:
-> 6 caract�res minimum (max = 10, pense suffisant non? d'autant plus que je vais aussi rajouter un salt, avant cryptage SHA512)
-> au moins 1 chiffre
-> au moins 1 majuscule
-> au moins un caract�re sp�cial
(avec les annotations pour comprendre)

Expression que je pourrais ensuite coller dans une fonction renvoyant true/false.

Question subsidiaire: mes crit�res de password sont-ils assez bons pour vous, ou comment feriez-vous, vous?

Merci.
:ave:
25/02/2016, 12h35
SpaceFrog

pour moi ce n'est pas possible en une seule reg ...
25/02/2016, 12h51
steph68b

pas de solution alors? :(
25/02/2016, 13h07
steph68b
cela dit, s'il faut faire 4 tests imbriqu�s dans des if(...) else if(...) moi �a me va aussi, pas de souci.

Le tout �tant de trouver les 4 r�gles des 4 test:

1.) pour les chiffres on aurait un truc du genre
Code:

1 2 reg = /[0-9]/; reg.exec(document.inscription.Passwd.value)
-> tu confirmes? :weird:

2.) pour les lettres maj/min on aurait un truc du genre
Code:

1 2 reg = /[a-zA-Z]/; reg.exec(document.inscription.Passwd.value)
-> tu confirmes? :weird:

3.) nb car min(6)/max(10)? 8O
4.) la pr�sence de caract�res sp�ciaux? 8O
-> formule g�n�rique possible?
OU
-> indique 1 par 1 ceux que l'on souhaite voir utilis�?

Mais si, mais si voyons! Tout est possible en RegExp!

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
function isValidPassword(password) {
    var charactersTypes = [
            '[A-Z]', // lettre majuscule
            '[0-9]', // chiffre
            '[^\\w]' // caractère non alphanumérique
        ]
    ;
 
    // On fabrique les différences séquences possible: chiffre-majuscule-caractère spécial, majuscule-caractère spécial-chiffre, ... (il y en a 6).
    var possibleSequences = [];
 
    for (var i = 0; i < charactersTypes.length; i++) {
        var possibleSequence = [charactersTypes[i]];
 
        for (var j = 0; j < charactersTypes.length; j++) {
            if (i === j) {
                continue;
            }
 
            possibleSequence.push(charactersTypes[j]);
        }
 
        possibleSequences.push(possibleSequence);
 
        var possibleSequence = [charactersTypes[i]];
 
        for (var j = charactersTypes.length - 1; j >= 0 ; j--) {
            if (i === j) {
                continue;
            }
 
            possibleSequence.push(charactersTypes[j]);
        }
 
        possibleSequences.push(possibleSequence);
    }
 
    // On crée une liste de pattern d'expression régulière vérifiant les différentes séquences.
    var patterns = [];
 
    for (var i = 0; i < possibleSequences.length; i++) {
        var possibleSequence = possibleSequences[i];
 
        // En ES6 (avec les "Littéraux de gabarits" cela donne:
        // + veut dire au moins 1
        // .* entre les différents caractères veut dire n'importe quel caractère 0 ou n fois.
        patterns.push(
            `${possibleSequence[0]}+.*${possibleSequence[1]}+.*${possibleSequence[2]}+`
        );
    }
 
    // On concatène les différentes séquence dans une seule et même expression régulière.
    // | veut dire "ou", ce qui veut dire qu'on va vérifier que le mot de passe vérifie une des séquences.
    var passwordCheck = new RegExp(patterns.join('|'));
 
    // Teste le mot de passe et renvoie true si il match, false sinon.
    return passwordCheck.test(password)
}
 
 
console.log(isValidPassword('abcde'));       // false
console.log(isValidPassword('abCde0'));      // false
console.log(isValidPassword('abCd@e'));      // false
console.log(isValidPassword('ab5de#0'));     // false
console.log(isValidPassword('abC@de0'));     // true
console.log(isValidPassword('a@bezC0ceaz')); // true

La mani�re programmatique, c'est pour comprendre ce qu'il se passe (l'algorithme peut certainement �tre bien am�lior�!). En abr�g�, �a donne:

Code:

1
2
3
function isValidPassword(password) {
    return /[A-Z]+.*[0-9]+.*[^\w]+|[A-Z]+.*[^\w]+.*[0-9]+|[0-9]+.*[A-Z]+.*[^\w]+|[0-9]+.*[^\w]+.*[A-Z]+|[^\w]+.*[A-Z]+.*[0-9]+|[^\w]+.*[0-9]+.*[A-Z]+/.test(password);
}

Apr�s c'est surtout pour la beaut� du geste. Pour un soucis de compr�hension (et certainement de performance), je le ferais en plusieurs expressions r�guli�res.

PS: je ne limiterais pas la taille maximale (en tout cas pas � 10).
PS2: j'ai trich�, je n'ai pas v�rifi� la taille globale du password dans ma regexp (password.length >= 6).

25/02/2016, 16h18
steph68b

J'allais poster que j'avais trouv� un d�but de piste avec mon

Code:

var reg = /[a-z]+[A-Z]+[0-9]+/g;

.......... sauf qu'�videment, de cette mani�re l� un mot d�butant avec 1 maj/chiffre renverra false, m�me si tous les crit�res sont l�......... mais pas dans le bon ordre!!

Je cherchais donc comment caser un 'ou' dans ma regexp............

MAIS � voir ta r�ponse, j'�tais encore TRES loin du compte!!
Et j'en �tais donc arriv� � vouloir faire une analyse syntaxique manuelle � la place!

Je vais jeter un oeil sur ton code, pour essayer de comprendre, merci.
25/02/2016, 16h25
steph68b

Ok, alors en fait, il faut donner manuellement toutes les combinaisons possibles des 3 crit�res (maj, min, car sp�), s�par�e � chaque fois par un "ou" (pipe)?
Ok, ok, ok, ok!!!

Aaaaaah la vache, je pensais les regex plus �volu�es, pour �viter �a justement!! :koi:
Donc effectivement, je n'�tais pas pr�s de trouver!! :pastaper::lefou:

Oui, les regexp ne sont pas forc�ment adapt�es � toutes les sortes de validations de cha�ne de caract�res. En revanche, on peut, la plupart du temps, d�composer en plusieurs expressions r�guli�res pour y arriver. En l'occurrence, il suffirait de v�rifier avec 3 expressions r�guli�res chaque type de charact�re que tu souhaites avoir:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 function isValidPassword(password) { var charactersTypes = [ /[A-Z]/, /[0-9]/, /[^\w]/ ] ; for (var i = 0; i < charactersTypes.length; i++) { if (!charactersTypes[i].test(password)) { return false; } } return password.length >= 6; }
Ce qui simplifie pas mal le code, notamment pour la personne qui passe derri�re toi!
A noter que ce code est plus �volutif car tu peux rajouter un nouveau type de caract�re sans impliquer un changement de l'algorithme.

25/02/2016, 16h51
SpaceFrog

Autant passer par des indexOf, moins gourmand.
25/02/2016, 16h55
steph68b

C'est ce que pensais quand je parlais d'analyse syntaxique manuelle oui, mais d'un autre cot� �a fait aussi un paquet de valeur � tester: 26 (min) + 26 (maj) + ?? (car. sp�), donc je trouvais que niveau perf, CT aussi moyen.............

Sinon, ta regexp semble fonctionner, SAUF pour le '_' qui n'est pas consid�rer comme un car. sp�. visiblement... � quel endroit faudrait-il me rajouter?

MAIS SURTOUT, votre avis de pro sur LA meilleur solution � prendre alors pour tester ce format de password?
-> regexp?
-> code complet?
-> indexof avec une liste explicite?

Que conseillerait la "bonne pratique"?
25/02/2016, 16h57
Gnuum

Citation:

Autant passer par des indexOf, moins gourmand.

J'aimerais bien voir ce genre de code avec des indexOf. Vu la quantit� que �a n�cessiterait, je ne suis pas s�r que ce soit plus performant. ^^
25/02/2016, 20h49
sekaijin

c'est super sympa de donner � tous les hackers les r�gles de tes mots de passe. �a leur permet de cibler leur attaque.

r�gle N�1 ne jamais assur� la s�curit� par le code sur le poste du client
r�gle N�2 ne jamais exposer la moindre information qui permettrait � un hacker d'avoir une id�e sur la s�curit�.

Alors soit tu utilise javascript c�t� serveur et ta question est pertinente
Soit tu l'utilise c�t� client et tu donne � tous visiteur anonyme des informations vitale sur la s�curit� de ton site.

Alors qu'une requ�te Ajax pour valider le mod de passe c�t� serveur et garanti que personne n'aura acc�s � tes r�gles de s�curit�.

Reste le simple fait d'employer des r�gles.
une exp�rience universitaire Anglaise a d�montr� que les sites sans aucunes r�gles �taient ceux dans lesquels on trouvait les mots de passe les plus faibles mais aussi les plus fort.
elle a aussi montr� que la pr�sence de r�gles augmentait de fa�on significative le nombre de mots de passe craqu�s lors d'une attaque.
la raison est que lorsque l'attaquant parvient � d�terminer une partie des r�gles il a acc�s � un grand nombre de mots de passes.

la conclusion �tait que pour assurer une meilleure s�curit� il convient de ne pas mettre de r�gles mais une politique d'auto hacking pour �liminer les mots de passes trop faibles.

si ton code est cot� javascript ta solution est la pire. car la plus grosse difficult� est de d�terminer les r�gles sur les mots de passe. et toi tu les donnes en exposant ton code js � tous les anonymes qui visite ton site. reste le plus simple g�n�rer des mots de passe conformes au r�gles.

A+JYT

Essaies �a

Code:

1
2
3
4
5
6
7
8
9
10
11
 
 
/^(?=.*?[A-Z])(?=(.*[a-z]){1,})(?=(.*[\d]){1,})(?=(.*[\W]){1,})(?!.*\s).{5,8}$/g.test(monmotdepasse)
 
//Au moins une majuscule
//Au moins une letttre 
//au moins un chiffre 
// pas d'espace apres
// et suivi de 5 a 8 caracteres 
 
//ce qui fait 6 a 9 carecteres en tout

26/02/2016, 17h48
steph68b

Ok, mais au final, ne vaut-il effectivement pas mieux ne pas indiquer de crit�res utilisateurs, mais "salter" s�v�rement le pass donn� par le user? :koi:

Soudainement, un doute m'habite... :yaisse3:
26/02/2016, 18h22
sekaijin

surtout �a exclus des mots de passe tr�s robustes

"Le monde a sp�cialement �t� terraform� en un parc de vill�giature pour loger les visiteurs de la Coupe Murray"

voila le genre de "mot" de passe que produit l'imagination humaine lorsque il n'y a pas de r�gles.
facile � retenir et impossible o� presque � craquer.

je crois que la plus part des gens serait �tonn� par les mots de passe que choisissent ceux qui attachent une importance � la s�curit�.

A+JYT
26/02/2016, 19h08
Invit�

Citation:

Envoy� par sekaijin

je crois que la plus part des gens serait �tonn� par les mots de passe que choisissent ceux qui attachent une importance � la s�curit�.

:plusser:

La plupart se borne(nt) � "0000" ou "1234" :lol:

Mais ceux qui, effectivement, sont conscients de l'importance de prot�ger leur donn�es, souhaitent "mieux" ;)
26/02/2016, 19h11
steph68b

Oui mais bon, s'il faut passer le champs de la base en TEXT pour les passwords, �a fait lourd ;)
Pense que 30 caract�res c'est d�j� pas mal............ sachant que les 3/4 ne d�passe m�me pas 6 ou 8.......... :weird:
26/02/2016, 19h15
Invit�
Actuellement, 12 caract�res semble �tre un "bon" crit�re.

Pour le cryptage en PHP, voir :
- password_hash()
- password_verify()
N.B. Pour info : en base de donn�es, on ne stocke QUE le mot de passe CRYPTE.

Mais compte tenu de la mode "tout connect�" et "tout domotique", un bon hackeur finira par rentrer chez toi sans avoir besoin de fracturer la porte ou la fen�tre...
Et pour r�cup�rer l'assurance: z�ro.
Bienvenu dans le monde cybern�tique...

Un bon verrou (m�canique) et une batte de baseball : y'a que �a de vrai... ;)

Plus s�rieusement, comme le dit sekaijin, "tester" le mot de passe en JavaScript (interceptable facilement) n'est pas une bonne id�e...
La longueur, � la rigueur... (xx caract�res mini)
26/02/2016, 19h32
Invit�

Une astuce (?) :

Passer en Ajax pour v�rifier dans un fichier PHP appel� (renvoyant uniquement true/false) la validit� du mot de passe.
Encore faut-il prot�ger ce fichier PHP d'un acc�s direct...
26/02/2016, 19h33
Gnuum

C'est s�r qu'un bon salt sur une base de donn�es s�par�e (voire d'un type diff�rent, un dictionnaire type REDIS par exemple) avec un petit cryptage et tu es plus s�curis� que 95% des applications. Si c'est du web, pense � faire du HTTPS pour �viter les risques d'interception.

Voir 40 message(s) de cette discussion en une page