4

Estoy encriptando un campo que es password para ello mi tabla se llama usuario que tiene estos campos:

  • idlogin
  • username
  • llave
  • Nombres
  • dni

Para encryptar estoy usando este procedimiento al momento de insertar un registro:

create PROCEDURE RegistrarUsuario
@username nvarchar(50),
@llave nvarchar(50),
@nombres nvarchar(500),
@dni nvarchar(8)
AS
 BEGIN
    INSERT INTO dbo.usuario
            (username,llave,Nombres,dni)
    VALUES  (@username 
             , ENCRYPTBYPASSPHRASE('password', @llave)  
             ,@nombres 
             ,@dni  
             )
 end
GO

Pero al momento de registrar en el campo llave que está encriptado sale en blanco:

introducir la descripción de la imagen aquí

1
  • ¿Por qué quieres hacer eso? No deberías cifrar la contraseña a no ser que tengas una muy buena razón para ello. Lo que deberías hacer es generar un hash salteado. Preferiblemente a nivel de aplicación, no en la base de datos.
    – DavidEG
    Commented el 23 feb. 2017 a las 10:48

3 respuestas 3

6

De inicio, el campo Llave debe estar declarado de tipo VARBINARY, esto para que ahí se guarde el valor encriptado. Para esto la definición de la tabla deberá quedar de la siguiente forma (o por lo menos algo parecido):

CREATE Table Usuario (
    LoginId INT Identity (1,1),
    UserName VARCHAR(50),
    Llave VARBINARY(8000),
    Nombres VARCHAR(50),
    DNI VARCHAR(8)
)

Seguido, el guardado para el campo Llave deberá ser con:

ENCRYPTBYPASSPHRASE('Clave de encriptado', 'Aqui va la contraseña del usuario')

Para que el INSERT quede de la siguiente forma:

INSERT INTO Usuario (
    UserName
    ,Llave
    ,Nombres
    ,DNI
    )
VALUES (
    'PFLORES'
    ,ENCRYPTBYPASSPHRASE('password', 'ContrasenaUsuario')
    ,'Flores Espinoza Pierro Joshep'
    ,'71697274'
)

Ahora, para recuperar la contraseña encriptada, será con:

DECRYPTBYPASSPHRASE('Clave de desencriptado', 'Campo para recuperar contraseña'))

Para que tu SELECT quede de la siguiente forma:

SELECT 
     LoginId
    ,UserName
    ,CONVERT(VARCHAR(MAX), DECRYPTBYPASSPHRASE('password', Llave))
    ,Nombres
    ,DNI
FROM Usuario

Aquí podrás ver la demostración

Finalmente, tu Stored Procedure debe quedar de la siguiente forma, nota que el tipo de dato del parámetro @llave es un VARCHAR y no un NVARCHAR:

CREATE PROCEDURE RegistrarUsuario @username VARCHAR(50)
    ,@llave VARCHAR(MAX)
    ,@nombres VARCHAR(500)
    ,@dni VARCHAR(8)
AS
BEGIN
    INSERT INTO Usuario (
        UserName
        ,Llave
        ,Nombres
        ,DNI
        )
    VALUES (
        @username
        ,ENCRYPTBYPASSPHRASE('password', @llave)
        ,@nombres
        ,@dni
        )
END

Aquí podrás ver la segunda demostración

Nota: no estoy seguro si los términos encriptado y desencriptado existan pero espero que con eso se pueda entender mejor la respuesta.

7
  • y en un procedimiento como seria ya que me sale error
    – PieroDev
    Commented el 23 feb. 2017 a las 14:37
  • En el procedimiento intentas hacer el insert o el select?
    – Phi
    Commented el 23 feb. 2017 a las 14:51
  • insert into como mi pregunta que realice con ese query.
    – PieroDev
    Commented el 23 feb. 2017 a las 14:53
  • No veo nungún tema al querer utilizar el mismo stored peocedure, qué error te tira?
    – Phi
    Commented el 23 feb. 2017 a las 14:56
  • Msg 257, Level 16, State 3, Procedure RegistrarUsuario, Line 0 Implicit conversion from data type varchar to varbinary is not allowed. Use the CONVERT function to run this query.
    – PieroDev
    Commented el 23 feb. 2017 a las 15:03
0

Important n' before text (nvarchar is diferente to nchar)

and do the cast to nvarchar

sample:

 Declare @cf Nvarchar(200);
set @cf = N'Esta es la clave de cifrado';

    DECLARE @N varbinary(8000)
    SELECT @N= ENCRYPTBYPASSPHRASE(@cf,  N'ESTO ES ES UN EJEMPLO')
     SELECT @N
 SELECT CAST( DECRYPTBYPASSPHRASE(@cf,@N) AS NVARCHAR(100))
1
  • Podrias decirlo en español, me confundiste T_T
    – Alexandra
    Commented el 13 mar. 2023 a las 21:58
-1

Una de las soluciones mas comunes es usar un salt adicional para cada entrada.

Ejemplo en PHP, pero el concepto aplica:

Al crear el registro generar un salt y un hash concatenando la contraseña con el salt.

$password = "Hello World";
$salt = uniqid(mt_rand(), true);
$saltedPassword = hash('sha256', $password.$salt);

Almacenar en la base de datos $salt y $saltedPassword.

Al momento de verificar si la clave es válida utilizas la misma concatenación con el salt pero esta vez con la clave a verificar y la comparas con $saltedPassword:

$loginSuccess = $saltedPassword == hash('sha256', $incomingPassword.$salt);

De esta manera eres menos vulnerable a que rompan las contraseñas en masa con un ataque de diccionario de hashes.

1
  • Me parece que el OP no indica si utiliza PHP, indica que se debe realizar directamente en el manejador de base de datos, en este caso, SQL Server.
    – Phi
    Commented el 23 feb. 2017 a las 5:31

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.