2

Estoy usando el modulo bcrypt de python, pero dentro del programa me di cuenta de que puedo ver las password en texto plano aun, no en hasheada. ¿Cómo puedo solucionar esto?.

Vi en internet que se comparaba el hash de la contraseña que introduce el usuario, con el hash de la contraseña guardada en base de datos, pero:

¿Qué este hash no cambia cada vez que se llama?, ¿cómo lo comparo entonces? y ¿cómo hago para que la contraseña no se imprima en plano, sino hasheada?

Solo la imprimo para verificar que ya no esta en plano, luego borrare el método.

Soy nuevo en esto, y lo necesito para la universidad.

from getpass import getpass
from io import open
import pickle
import bcrypt
import time
import os
import sys

# class controller
if "linux" in sys.platform:
    os.system("clear")
elif "win" in sys.platform:
    os.system("cls")
else:
    pass

class Users():
    def __init__(self,user,password):
        self.user = user
        self.password = password
        self.carrito = []

    def __str__(self):
        return f"\nTu user es: {self.user} y tu contraseña es: {self.password}"

class Controller():
    def __init__(self):
        self.users = []
        self.hashes = []
    def log(self):
        self.display()
        wh = input("""\

[1] -> registrarte

[2] -> iniciar sesion

¿Deseas registrarte o iniciar sesion?: """).lower().strip()
        if wh == "1":
            self.sign_up()
        elif wh == "2":
            self.log_in()
        else:
            print("\nError, solo [registrarme - iniciar sesion]")
            time.sleep(2)
            self.log()
    def log_in(self):
        self.display()
        global password
        user = input("\nIntroduce tu usuario: ").strip()
        password = getpass("\nIntroduce tu contraseña: ").strip()
        obj = Users(user,password)
        self.verify_user(obj)
    def sign_up(self):
        self.display()
        global password
        user = input("\nIntroduce tu usuario: ").lower().strip()
        password = getpass("\nIntroduce tu contraseña: ").strip()
        obj = Users(user,password)
        self.add_user(obj)
    def hash1(self):
        self.salt = bcrypt.gensalt()
        self.hashed = bcrypt.hashpw(password.encode("utf-8"),self.salt)
        return self.hashed
    def add_user(self,p):
        for u in self.users:
            if u.user == p.user:
                if bcrypt.checkpw(password.encode("utf-8"),self.hash1()):
                    print("\nEl usuario ya esta registrado.")
                else:
                    print("\nEste nombre de usuario ya esta en uso, por favor intenta con otro.")
                    time.sleep(2)
                    self.log()
                    break
        else:
            self.users.append(p)
            self.save_users()

    def mostrar(self):
        for u in self.users:
            if len(self.users) == 0:
                print("vacio")
            else:
                print(f"{u}")

    def verify_user_unknown(self,p):
        while True:               
            self.display()
            o = input("\n¿Desea agregar el usuario?: ").lower().strip()
            if o == "si":
                self.add_user(p)
                break         
            elif o == "no":
                print("\nOk")
                time.sleep(2)
                break
            else:
                print("\nError, solo [si-no]")
                time.sleep(2)


    def verify_user(self,p):
        for u in self.users:
            if u.user == p.user:
                if bcrypt.checkpw(password.encode("utf-8"),self.hash1()):
                    os.system("cls")
                    print(f"\nBienvenido, {p.user}.")
                    break
                else:
                    print("\nEl usuario no ha sido registrado")
                    time.sleep(2)
                    self.verify_user_unknown(p)
                    break
        else:
            print("\nEl usuario no ha sido registrado")
            time.sleep(2)
            self.verify_user_unknown(p)

    def add_user_unknown(self,p):
        while True:
            self.display()
            question = input("\n¿Desea agregar el usuario?: ").lower().strip()
            if question == "si":
                self.add_user(p)
                break
            elif question == "no":
                print("\nOk")
                time.sleep(2)
                break
            else:
                print("\nError, solo [si-no]")
                time.sleep(2)

    def remove_user(self,p):
        for u in self.users:
            if u.user == p.user:
                self.users.remove(u)
                self.save_users()
                return
        print("\nEl usuario no ha sido registrado.")
        time.sleep(2)
        self.add_user_unknown(p)

    def save_cars(self):
        fichero_cars = open("cars.pckl","wb")
        pickle.dump(self.carrito,fichero_cars)
        fichero_cars.close()
    def save_users(self):
        fichero_users = open("users.pckl","wb")
        pickle.dump(self.users,fichero_users)
        fichero_users.close()
    def load_cars(self):
        fichero_cars = open("cars.pckl","ab+")
        fichero_cars.seek(0)
        try:
            self.carrito = pickle.load(fichero_cars)
        except:
            pass
        finally:
            fichero_cars.close()

    def load_users(self):
        fichero_users = open("users.pckl","ab+")
        fichero_users.seek(0)
        try:
            self.users = pickle.load(fichero_users)
        except:
            pass
        finally:
            fichero_users.close()
    def display(self):
        if "linux" in sys.platform:
            os.system("clear")
        elif "win" in sys.platform:
            os.system("cls")
        else:
            pass 

class Menu(Controller):
    def start(self):
        self.load_users()
        self.load_cars()
    def menu(self):
        self.log()

#############
p = Menu()
p.start()
p.menu()
p.mostrar()
#############

1 respuesta 1

1

La teoría

La contraseña nunca debe guardarse en claro en la base de datos (o en el pickle en tu caso). En tu caso esto implica que la clase Users tampoco debería guardar la contraseña en el campo password, sino el resultado de hacer el hash de la misma (por esta razón la función hash1() mejor formaría parte de la clase User, y recibiría como parámetro la contraseña a guardar).

¿Es el hash siempre el mismo?

Si la entrada es siempre la misma, sí. Por tanto a priori bastaría con calcular un hash como SHA256 de la contraseña, y guardar ese hash. Para verificar si el usuario se sabe la contraseña se le pregunta, se calcula la misma función hash (ej: SHA256) sobre su respuesta y se compara con lo guardado. Si son iguales, es que sabe la contraseña, porque cualquier otra cadena habría producido otro hash.

Si un atacante roba la base de datos (en tu caso el pickle), dentro de él sólo podrá ver los hashes. A partir de un hash es imposible recuperar qué cadena le dio origen, salvo por fuerza bruta (probar una a una todas las cadenas posibles, calculando el hash de cada una y comparándolo con lo que hay en el fichero hasta encontrar una coincidencia).

Pero hay otra sutileza. Si hiciéramos lo que acabo de describir (guardar los hashes de las claves) dos usuarios A y B que (casualmente) elijan la misma contraseña, darían lugar a un mismo hash. El problema de esto es que si el atacante robó el archivo de claves (sólo puede ver los hashes), y no ha conseguido aún dar con la contraseña, pero se entera de algún modo de qué contraseña tenía el usuario A (por ejemplo espiando lo que A teclea), al encontrar que su hash es el mismo que el del usuario B sabrá también automáticamente la contraseña de B. Otro ataque similar (rainbow table attack) consistiría en pre-computar los hashes de contraseñas habituales, y compararlos con los que hay en el fichero.

Salt

Para evitar este útimo ataque, a la contraseña de cada usuario se añade por delante una serie de bytes aleatorios (denominados salt) y se guarda el hash de esta nueva cadena. Así, aún si dos usuarios usan la misma contraseña, debido a que cada uno fue precedido de una salt diferente, tendrán un hash diferente y el ataque rainbow no será posible.

La nueva dificultad por supuesto es que ¿cómo validamos ahora la contraseña del usuario? Preguntársela y calcular su hash para comparar con el guardado ya no sirve, pues el guardado corresponde a la cadena salt+password, y no solo a password. Por tanto se necesita el valor de salt para verificar la contraseña. Para resolver esta dificultad, el archivo de claves ha de guardar también el valor de la salt usado en cada contraseña.

Y eso es precisamente lo que hace bcrypt.hashpw(). Mira:

>>> bcrypt.hashpw("Hola".encode("utf8"), bcrypt.gensalt())
b'$2b$12$I9xV3wPwaaeFEHKByL0kTuRZX/qZBq2A0Ba/RS6LGVJPWYmTywaCu'

La cadena de bytes que ha generado hashpw() incluye al principio el valor de la sal (lo que va entre dólares), y después el valor del hash.

Ahora ya es posible verificar una contraseña. Para ello se pregunta la contrasñea al usuario, se toma la cadena de bytes guardada en la base de datos (la que se generó con hashpw(), se separa en la parte "salt" y la parte "hash", se concatena a la "salt" la respuesta del usuario, se calcula el hash de todo ello y se compara con la parte "hash" obtenida de la base de datos. Si son iguales ¡correcto!

Todo esto es lo que hace la función bcrypt.checkpw() mira:

>>> bcrypt.checkpw("Hola".encode("utf8"),
...                b'$2b$12$I9xV3wPwaaeFEHKByL0kTuRZX/qZBq2A0Ba/RS6LGVJPWYmTywaCu')
True

Basta pasarle la contraseña que queremos verificar, y el valor guardado en la base de datos (el que se obtuvo con hashpw()) y él se encarga de todo.

La práctica

La clase Users debería ocuparse de guardar la clave hasheada y nunca en plano. También, por coherencia, debería ocuparse de verificar si una clave dada corresponde a ese usuario. De este modo la clase Users se ocupa también de la autenticación. Quedaría así:

class Users():
    def __init__(self,user,password):
        self.user = user
        self.password = self.hashpw(password)
        self.carrito = []

    def hashpw(self, password):
        return bcrypt.hashpw(password.encode("utf8"), bcrypt.gensalt())

    def verify(self, password):
        return bcrypt.checkpw(password.encode("utf8"), self.password)

    def __str__(self):
        return f"\nTu user es: {self.user} y tu contraseña es: {self.password}"

Ahora __str__ mostrará la clave hasheada en vez de "en claro". Además la clave "en claro" no se está guardando en ningún lugar (evita también la variable global password y haz que sea local en cada método, pasándola como parámetro cuando sea necesario). Por tanto tampoco se guardará en el pickle.

Deberás cambiar también el resto del programa para que la verificación de usuarios se haga a través de Users.verify(). Por ejemplo, el método verify_user() podría quedar así:

    def verify_user(self, name, password):
        for u in self.users:
            if u.user == name:
                if u.verify(password):
                    print(f"\nBienvenido, {p.user}.")
                    break
                else:
                    printf("La contraseña es incorrecta")
                    break
        else:
            print("\nEl usuario no ha sido registrado")

Al margen de esto, para acelerar la búsqueda de un usuario dado y no tener que iterar por la lista de usuarios (self.users) podrías hacer que la lista fuese un diccionario, cuya clave fuese el nombre y el valor fuese el objeto Users. Así podrías buscar rápidamente por el nombre:

u = self.users[name]

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.