2

el día de hoy me estoy enfrentando a un nuevo reto, implementar password de seguridad con el método de encriptación PASSWORD HASH, estoy trabajando con postgress y php, pero navegando en la red encuentro información de md5, que, al día de hoy, ya no es seguro, y para password hash encontré un vídeo muy bueno, sin embargo está implementado con MySql y la verdad recién estoy incursionando en la programación y no sé de que forma hacerlo funcional para postgres.

Si alguien sabe cómo lograrlo o conoce otra forma de implementar esta método para postgres se los agradecería mucho.

Cabe mencionar que actualmente estoy trabajando con md5

Código html

<?php
include_once "includes/valid/validUser.php";
include_once "includes/bdConection.php";
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
  <head>
    <title>Login</title>
    <meta name="viewport" content="width=device-width, initial-scale=1.0"> <meta charset="UTF-8">

  </head>
  <body>

    <div id="content">
      <div class="testbox">
        <h1>Inicio de sesi&oacute;n</h1><hr/>
        <form action="<?php echo $_SERVER['PHP_SELF'];?>" method="post" href="#" >
          <label id="icon" for="name"><i class="icon-user"></i></label>
          <input type="number" class="inputLogin" name="userNameLogin" placeholder="Código de Usuario" required />
          <label id="icon" for="name"><i class="icon-shield"></i></label>
          <input type="password" class="inputLogin" name="passwordLogin" value=""  placeholder="Contraseña" required/>
          <input type="submit" class= "btn btn-info  btn-responsive btninter center" id="button" name="submit" value="Ingresar"/>     
        </form> 
      </div>
    </div>
  </body>
</html>

código validUser.php

<?php
include_once "includes/bdConection.php";

if(isset($_POST['submit'])){

        $userName=trim($_POST["userNameLogin"]);
        $password=trim($_POST["passwordLogin"]);
            $password=md5($password);
        $query = "SELECT * FROM users WHERE id_user = '$userName' AND pw = '$password';";
        $result = pg_query($conn, $query) or die('Query failed: ' . pg_last_error());
        if(pg_num_rows($result) != 1) {
          //do error stuff
          $error = "<b> Usuario o contraseña incorrectos</b>";

        }
        else 
        {

              session_start();
              $_SESSION['varname'] = $userName;
              $_SESSION['start'] = time();
              $_SESSION['expire'] = $_SESSION['start'] + (60 * 60);
              echo "Welcome " . $userName;
              header("Location: ../index.php");
              exit;
        }

    }


    echo "<p> $error </p>";
?>
2
  • cual es el error exacto o que es lo que pasa?
    – user75901
    el 21 mar. 2018 a las 17:41
  • Cambiar el método de encriptación que actualmente uso, md5, por password hash el 21 mar. 2018 a las 17:43

2 respuestas 2

2

Te comento una serie de cosas, primero:

  1. deberás usar password_hash() para cear la contraseña hasheada es decir que resulte una combinación de letras y números así como caracteres
  2. El resultado es una cadena de 60 caracteres por lo que debes verificar tu campo varchar si acepta dicha cantidad
  3. el método password_hash() es de PHP no del gestor de bases de datos, y esta dispnible desde la versión 5.5.0 del mismo

Este es un ejemplo

/*PASSWORD_BCRYPT generará un hash de 60 caracteres, por lo tanto también debes de verificar la longitud de tu campo VARCHAR que es el necesario para poder almacenar dicho valor*/
$valorHash = password_hash("AlfredoPaz", PASSWORD_BCRYPT);
echo $valorHash;

/*El valor obtenido de la operación anterior es:*/
$valorHash = '$2y$10$DicZpj8Jepva9ajp.4w8cu8i1XDP1q4pRppEZWSB1MvAhc40tsPIm';

/*ahora con la función password_verify checamos si el hash que esta almacenado coincide con lo que manda el usuario*/

if(password_verify('AlfredoPaz', $valorHash)) {
    return "Datos coincidentes";
} else {
    return "Datos no coincidentes";
}

Ya de un modo mas sintetizado pudiera ser así:

$valorHash = password_hash("AlfredoPaz", PASSWORD_BCRYPT);
if(password_verify('AlfredoPaz', $valorHash)) {
    echo "Datos coincidentes";
} else {
    echo "Datos no coincidentes";
}

Me va a retornar datos coincidentes pero si yo agrego un espacio entre Alfredo y Paz me va a retornar datos no coincidentes

9
  • $userName=trim($_POST["userNameLogin"]); $password=trim($_POST["passwordLogin"]); $passHash=password_hash($password); $query = "SELECT * FROM users WHERE id_user = '$userName' AND pw = '$passHash';"; if(password_verify($passHash)) { MODIFIQUÉ esta parte de mi código pero me lanza este error Call to undefined function password_hash(), ya tengo mi usuario en mi base de datos con mi contraseña encriptada en password hash el 21 mar. 2018 a las 18:40
  • estas un poco confundido, esta línea de código $valorHash = password_hash("AlfredoPaz", PASSWORD_BCRYPT); es cuando das de alta a un usuario para mandar la contraseña como un hash; no debes usarla en tu comprobación de las credenciales del usuario
    – user75901
    el 21 mar. 2018 a las 18:43
  • Mis usuarios ya estan dados de alta y efectivamente utilice algo parecido a esa linea, me refiero a hacer el login del usuario el 21 mar. 2018 a las 18:44
  • entonces solo deberías ocupar solo el condicional de password_verify() asumiendo que ya diste de alta la contraseña con password_hash() y no veo la necesidad de hacer un select * si solo vas a hacer el login con traer el user y password en dicha consulta basta
    – user75901
    el 21 mar. 2018 a las 18:48
  • 1
    checa la versión de PHP que usas, debes tener al menos 5.5.0 puedes hacer un archivo de php con la instrucción phpinfo(); o desde tu consola con php -v
    – user75901
    el 21 mar. 2018 a las 18:54
0

El metodo de encriptacion es de PHP, no de la base de datos

Ejemplo Hash

echo hash('ripemd160', 'The quick brown fox jumped over the lazy dog.');

El resultado seria

ec457d0a974c48d5685a7efa03d137dc8bbde7e3

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.