1

Estoy realizando un Login, en el cual la clave del usuario almacenada en la Base de datos es de tipo varbinary(50) debo recuperar este valor, para posteriormente compararlo con la clave string digitada por el usuario.

En la Base de datos tengo lo siguiente:

introducir la descripción de la imagen aquí

password = 0x61646D696E en string es admin utilizando el Encoding.ASCII.

He realizado lo siguiente (asuma que la conexión cnn esta abierta):

string comando = string.Empty;
DataSet dataset = new DataSet();

byte[] claveByte = Encoding.ASCII.GetBytes(txt_clave.Text.Trim());
string claveString = "0x" + BitConverter.ToString(claveByte).Replace("-", string.Empty);

comando = @"select nombre_usuario, convert(varchar(50), password, 1) as clave from USUARIO 
            where nombre_usuario = '" + txt_usuario.Text.Trim() + "'" +
            " and password =" + claveString;

using (SqlDataAdapter sentencia = new SqlDataAdapter(comando, cnn))
{
       sentencia.Fill(dataset);
       sentencia.Dispose();
}

byte[] claveObtenida = Encoding.ASCII.GetBytes(dataset.Tables[0].Rows[0]["clave"].ToString());
usuario = dataset.Tables[0].Rows[0]["nombre_usuario"].ToString();
clave = Encoding.ASCII.GetString(claveObtenida);

if (txt_usuario.Text == usuario && txt_clave.Text == clave)
{
    //.........
    //........
}

txt_usuario.Text = "admin"; y txt_clave.Text = "admin"; , al momento de convertir a string la clave obtenida de la base de datos obtengo lo siguiente:

introducir la descripción de la imagen aquí

Hay una mejor forma de hacerlo sin implicar el uso de tantas conversiones de tipos y poder comprar correctamente la clave del usuario?

Entordo: Visual Studio 2010 (WindowsForms) C#, .NET NetFrameWork 4.

2 respuestas 2

1

Hay muchas cosas que pudes mejorar en tu código.

Primero, usa parámetros en tu consulta, sino vas a estar expuesto a SQL injection

var command = new SqlCommand();
command.CommandText = @"
select nombre_usuario, convert(varchar(50), password, 1) as clave 
from USUARIO 
where nombre_usuario = @usuario and password = @password";

Segundo, si tu campo es un binary, compara binaries con binaries no tienes necesidad de convertir:

byte[] claveByte = Encoding.ASCII.GetBytes(txt_clave.Text.Trim());
command.Parameters.Add("@password", claveByte);

Tercero, que el password este en binary no significa que sea seguro, yo ahora sé que estás almacenando simplemente el ASCII encodeado, puedo robar tu base de datos (no lo voy a hacer :p) y puedo desencodearlo.

Te recomiendo investigar y usar algo como RNGCryptoServiceProvider.

Tu código podría ser así:

var command = new SqlCommand();
command.CommandText = @"
select nombre_usuario, convert(varchar(50), password, 1) as clave 
from USUARIO 
where nombre_usuario = @usuario and password = @password";

command.Parameters.Add(new SqlParameter("@usuario", txt_usuario.Text));
command.Parameters.Add(new SqlParameter("@password", Encoding.ASCII.GetBytes(txt_clave.Text.Trim())));

if(command.ExecuteScalar() == null)
{
    return "Bad Password";
}
else
{
    return "Good Password";
}
8
  • Aquí solo veo mejorado la parte de los parámetros, pero en que momento asigno los valores obtenido a las variables usuario y clave para posteriormente comprar aquí: if (txt_usuario.Text == usuario && txt_clave.Text == clave) ? y var command = new SqlCommand(); No contiene una definición para hacer: command.Text en dado casi sería : command.CommandText el 6 abr. 2018 a las 13:45
  • Son ejemplos, podes seguir a partir de aquí.
    – hardkoded
    el 6 abr. 2018 a las 13:53
  • En tu lugar no compararía nada, puede ejecutar un ExecuteScalar, si no obtienes nada es porque el password no matcheó y si obtienes el nombre significa que el password es válido
    – hardkoded
    el 6 abr. 2018 a las 13:56
  • Must declare the scalar variable "@password" el 6 abr. 2018 a las 13:58
  • Agregaste el command.Parameters.Add("@password", claveByte);
    – hardkoded
    el 6 abr. 2018 a las 14:03
1

Voy a tratar complementar un poco la respuesta de @hardkoded. Para el manejo de los password para el login que deseas implementar no te recomiendo utilizar un proceso para encriptar y desencriptar la clave, mi recomendación sería utilizar una función hash criptográfica. Esta función hash siempre te va a retornar el mismo resultado para el valor que ingreses, si ingresas otro valor va a generar un resultado completamente diferente al anterior. Te dejo enlace con las funciones hash disponibles en .net. No utilices MD5 ni SHA1 ya que no son muy seguros y no se recomiendo seguir utilizandolas, puedes utilizar SHA256, SHA384, SHA512.

https://msdn.microsoft.com/en-us/library/system.security.cryptography.hashalgorithm(v=vs.110).aspx

Pseudocódigo de como funcionaría esto:

Primer caso Insertar Nuevo usuario:

  1- Lees usuario y password ingresado por el usuario.
  2- Hash = FuncionHashCriptografica(password) //obtienes el hash del password
  3- Insertas en BD Usuario y Hash obtenido en el paso anterior.

Segundo caso iniciar sesión:

 1- Lees usuario y password ingresado por el usuario.
 2- Hash = FuncionHashCriptografica(password) //obtienes el hash del password
 3- BuscarUsuarioEnBD(usuario, Hash)
 4- Si retorno un usuario procedes con iniciar sesión
 5- Si no retorno un usuario puede significar dos cosas. O el usuario no existe o que el password ingresado no es el correcto.

Como puedes observar en el segundo caso para iniciar sesión la comparación de las claves se hace en función del hash generado a partir del texto que ingreso el usuario en el campo del password, lo que esta en BD no se desencripta.

Espero te sea de ayuda.

1
  • De acuerdo, gracias! el 6 abr. 2018 a las 18:08

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.