[New] Connaitre l'état de l'art

[ddebarbieux]

Ne pas partir tête baissée dans les développements et prendre le temps de réaliser un état de l'art.

Exemples :

1. Besoin d'authentification (mire de login, changement de mot de passe...) -> je regarde un outil tel que keycloak
2. Besoin de pseudonymiser une donnée -> je regarde les recommandations de la CNIL ou SNDS (pour les données de santé)
3. Besoin de sécuriser une application -> je regarde les recommandations de l'OWASP

S'appuyer sur les standards / ne pas réinventer la roue : gain en temps, en qualité logicielle...

[fzaninotto]

J'ai du mal à comprendre comment cette pratique peut être appliquée, et quel impact elle a sur l'impact environnemental d'une page web.

[ACTLEM]

Idem. Cette recommandation touche plus le Numérique Responsable au sens large que l'écoconception web.

[arnolem]

Idem.

J'aurais même tendance à dire que keycloak (que je ne connais pas) est surement un truc plus consommateur en ressource qu'une authentification sur-mesure dans une application.

[ddebarbieux]

La recommandation est de réaliser l’état de l’art.

Pour un besoin d'authentification, tu regardes keycloak. Cela ne veut pas forcément dire que tu le choisi. Au minimum, tu te poses la question.

Mes exemples ne sont peut-être pas assez parlant.

[tbroyer]

@arnolem La question de l'authentification n'est pas à prendre à la légère d'un point de vue sécurité (je suis coupable d'avoir implémenté plus d'une fois un processus d'authentification "sur-mesure dans une application"), principalement parce qu'on oublie trop souvent les à-côtés: protection contre les attaques par force brute (délais après erreur, blocage de comptes, mais potentiel "marquage" de navigateurs déjà "autorisés" et qui ne seraient pas alors touchés par ces délais et blocages), réinitialisation de mot de passe, récupération de compte (identifiant oublié), authentification multi-facteurs, alertes mail/sms en cas d'actions tells qu'un changement de mot de passe avec possibilité de "faire appel", quid des changements d'adresse email et/ou numéros de téléphones ? (faut-il demander confirmation à l'ancien et au nouveau ? mais quid si on a perdu l'accès à l'ancien ? et si le compte a été piraté et que c'est le pirate qui fait le changement ? quelle procédure de contestation ?)

C'est la différence entre l'état de l'art et "un petit formulaire avec 2 champs et on prend bien soin d'utiliser le bon hachage en base de données".
Chez nous la bonne pratique c'est de déléguer (OpenID Connect ou CAS, SAML2 si on n'a pas le choix), si possible avec une solution fournie par le client et à défaut avec Keycloak (historiquement, on a pas mal fait de LDAP avec un "password self-service" pour la réinitialisation de mots de passe et un IAM pour les admins, mais ça a ses limites, et on a toujours des systèmes "annexes" de toutes façons)
Alors oui ça consomme plus de ressources, mais c'est un compromis sur lequel on n'est pas prêt à lâcher du lest facilement.

[arnolem]

Ok mais le livre s'appelle "eco-conception" et non "sécurité applicative". Si on commence à mettre des bonnes pratiques qui n'apportent rien au niveau environnemental, ça va porter à confusion.

A titre d'exemple, un site e-commerce sans système d'authentification serait plus eco-concu qu'il site e-commerce avec tout ce que tu décris. La commande sans compte ne posera pas de problème.

Je comprends bien ce que tu dis mais je pense simplement que c'est hors sujet (par rapport au livre)

(Ou alors j'ai vraiment rien compris 😂)

[ACTLEM]

#139