364178_fr-FR

liliconcom

Question de sécurité informatique sur le cryptage des mots de passe

Salut,

L'équipe de sécurité informatique d'un nouveau client potentiel examine JMP avant l'achat. La documentation d'aide de JMP nous indique l'emplacement du fichier .jmp où sont stockés les identifiants d'utilisateur et les mots de passe et note que "Votre mot de passe Google est crypté" ; l'équipe de sécurité demande maintenant où est stockée la clé de cryptage des mots de passe.

Ces informations sont-elles gérées au niveau du système d'exploitation (c'est-à-dire Credential Manager) ou est-ce que JMP gère le chiffrement/déchiffrement des mots de passe ?

 

Existe-t-il également un emplacement analogue où ces informations (OAuthTokens.jmp sur PC) sont stockées sur MacOS ?

 

Merci!

Jef

Re : Question de sécurité informatique sur le cryptage des mots de passe

@briancorcoran , Merci pour la correction. J'ai mis à jour la doc avec le texte que vous avez fourni.

Re : Question de sécurité informatique sur le cryptage des mots de passe

Trouvé - merci encore pour votre aide, Jeff !!

Re : Question de sécurité informatique sur le cryptage des mots de passe

@sheila_loring Ce n'est pas ce que Jeff a dit.Il devrait vraiment dire : les mots de passe ne sont pas stockés sur l'ordinateur et les jetons d'accès sont cryptés.  

Re : Question de sécurité informatique sur le cryptage des mots de passe

J'ai ajouté la partie en italique à la doc :

 

Notez que votre mot de passe Google est crypté et non stockées sur l'ordinateur.

Re : Question de sécurité informatique sur le cryptage des mots de passe

@sheila_loring , pouvez-vous mettre à jour Le document supprimer la référence aux mots de passe stockés ou, mieux encore, indiquer clairement qu'aucun mot de passe n'est stocké ?

Re : Question de sécurité informatique sur le cryptage des mots de passe

Vous regardez /Library (celle de votre machine entière). Vous devez rechercher la bibliothèque dans votre dossier d'accueil (~/Bibliothèque).

Dans le Finder, maintenez la touche Option enfoncée et cliquez sur le menu Aller et choisissez Bibliothèque.

Je voudrais vous donner une capture d'écran du menu Go montrant le choix de la bibliothèque, mais c'est difficile à faire car la touche Option gêne l'outil de capture d'écran.

Au lieu de cela, voici le dossier dont je parle:

 

 

 

 

Re : Question de sécurité informatique sur le cryptage des mots de passe

Merci, Jeff et Brian, pour ces informations !

 

@Jeff_Perkinson j'espère que je peux vous embêter ou un collègue avec un suivi Q :

J'avais trouvé l'emplacement Mac que vous mentionnez mais il n'affiche pas de fichier OAuthToken.jmp. Je peux accéder à ma démo Google Sheet via JMP sans informations d'identification, donc je suppose qu'un jeton existe mais le fichier ne s'affiche pas là où nous l'attendons... et je n'ai pas non plus de chance de le trouver via la recherche.Cela contraste avec mon instance Windows qui affiche le fichier OAuthToken.jmp.

Des pensées ici?

Merci encore! Vos réponses sont bonnes/bienvenues à tout moment

-Jeff

Re : Question de sécurité informatique sur le cryptage des mots de passe

Merci Jeff Perkinson, vous avez raison.Nous ne stockons pas les mots de passe, mais les jetons d'accès qui peuvent expirer selon le service que vous utilisez.  

 

Brian

Re : Question de sécurité informatique sur le cryptage des mots de passe

Note à moi-même : Ne répondez jamais après l'heure du coucher. Mes excuses.

 

J'ai localisé la section de la documentation à laquelle vous faisiez référence. C'est le À propos de l'importation de feuilles de calcul Google section:

 

• Les informations que Google utilise pour authentifier votre compte sont stockées dans C:/Users//AppData/Roaming/SAS/JMP/OAuthTokens.jmp . (Votre mot de passe Google est crypté.) Cela vous permet d'importer et d'exporter des données à l'aide du même compte Google sans fournir à nouveau les informations d'authentification. Notez qu'un utilisateur ayant accès au compte utilisateur de votre ordinateur a accès à toutes vos feuilles de calcul Google. S'ils contiennent des informations confidentielles, reconsidérez le partage de votre compte utilisateur.

Le fichier oauthtokens.jmp sur un Mac se trouve dans ~/Library/Application Support/JMP.

 

D'après ce qu'il y a dans mon oauthtokens.jmp, je ne crois toujours pas que nous stockons des mots de passe, mais @briancorcoran peut aider à confirmer.

 

NB : J'ai ajouté la colonne Longueur [] ci-dessous pour indiquer que le champ du mot de passe est vide.

 

Re : Question de sécurité informatique sur le cryptage des mots de passe

Je suppose que tu parles de Sécurité partie de la OAuth 2.0 pour les API Web section:

 

Les jetons OAuth peuvent contenir des informations sensibles. Selon le type d'octroi, vous devrez peut-être fournir votre mot de passe ou un secret client. JMP gère automatiquement ces informations pour vous.

Les informations que Google utilise pour authentifier votre compte sont stockées dans C:/Users//AppData/Roaming/SAS/JMP/OAuthTokens.jmp . (Votre mot de passe Google n'est pas stocké.) Après avoir utilisé un jeton OAuth sur votre compte personnel, vous pouvez supprimer toutes les colonnes à l'exception de l'ID utilisateur et de l'ID client. Gardez à l'esprit que si vous avez besoin de partager votre script, les autres n'auront pas les colonnes d'ID utilisateur et client enregistrées sur leur machine. Nous vous recommandons de déplacer ces informations vers un script JSL chiffré avant de partager le script OAuth.

Accent ci-dessus est le mien.

 

Sur cette base, je ne crois pas que nous stockions les mots de passe. Ce qui est stocké, ce sont les jetons utilisé par les applications construites à l'aide du framework OAuth dans JSL.

 

@bryan_boone peut fournir plus de détails ici.