2

Cual seria el mejor metodo para encriptar contraseñas en una base de datos. En mi caso tengo que encriptar dos contraseñas por usuario: la de acceso del propio usuario y la de su cuenta de email.

La primera seria en un solo sentido, comparando la contraseña introducida con la almacenada en mssql, pero la segunda necesito que sea en los dos sentidos (encriptar y desencriptar), ya que la necesito para que el usuario se valide al enviar un email a través de php.

El servidor que estoy utilizando tiene instalado PHP Version 5.5.33-1~dotdeb+7.1

Muchas gracias a todos.

4 respuestas 4

3

Te han dejado ejemplos muy practicos, una alternativa muy utilizado hoy un dia es password_hash() con password_verify(), para almacenar contraseña de manera segura.

password_hash() crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido. password_hash() es compatible con crypt(). Por lo tanto, los hash de contraseñas creados con crypt() se pueden usar con password_hash().

Veamos un caso, como podría quedar.

Encriptar contraseña:

//Contraseña usuario formulario.
$password = 'hola mundo';

//Encriptamos nuestra contraseña para BD.
$password = password_hash(
                base64_encode(
                    hash('sha384', $password, true)
                ), PASSWORD_DEFAULT
            );

//SQL, insertamos nuestra contraseña a BD,etc...

El resultado de $password seria algo similar a:

  • $2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a

password_verify(), comprueba que el hash proporcionado coincida con la contraseña facilitada.

Observe que password_hash() devuelve el algoritmo, el coste y la sal como parte del hash devuelto. Por lo tanto, toda la información que es necesaria para verificar el hash está incluida. Esto permite a la función de verificación comprobar el hash sin la necesidad de almacenar por separado la información de la sal o del algoritmo.

Verificar contraseña:

//Obtenemos datos formulario.
$password = 'hola mundo';
$usuario = 'Foo';

//Obtenemos el password desde BD.
$sql = $conexion->prepare("SELECT password FROM usuario WHERE email=? LIMIT 1");

//$passwordBaseDatos, es la contraseña desde BD.
//Es decir,  $2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a

//Verificamos nuestras contraseñas.
if (password_verify(
      base64_encode(
        hash('sha384', $password, true)
      ), $passwordBaseDatos
)) {
  echo'Tu contraseña fue verificado correctamente';
} else {
  echo'Tu contraseña no coincide';
}

Aquí te dejo otra información de SOes con ejemplos prácticos que quizás te pueda venir útil Almacenamiento de contraseñas PHP y MYSQL o ¿Como obtener siempre los mismos resultados al encriptar una cadena?

1

El proceso de encriptar las contraseñas para proteger las cuentas de los usuarios es algo muy importante en una aplicación, existen diferentes tipos de algoritmos, una implementación común en PHP es blowfish, porque es lento y previene ataques por fuerza bruta:

<?php  

function get_hash($password, $cost = 11) {
    // Genera sal de forma aleatoria
    $salt=substr(base64_encode(openssl_random_pseudo_bytes(17)),0,22);
    // reemplaza caracteres no permitidos
    $salt=str_replace("+",".",$salt);
    // genera una cadena con la configuración del algoritmo
    $param='$'.implode('$',array(
        "2y", // versión más segura de blowfish (>=PHP 5.3.7)
        str_pad($cost,2,"0",STR_PAD_LEFT), // costo del algoritmo
        $salt // añade la sal
    ));

    // obtiene el hash de la contraseña
    return crypt($password,$param);
}

function validate_pass($hash, $pass) {
    // verifica la contraseña con el hash
    return crypt($pass, $hash) == $hash;
}

$hash = get_hash("miPassword");
echo $hash . '<br />'; //      $2y$11$VWjsiQG3cwASWxcDu4XQyOKifKFSWxoAVIL0yd8KJ4laPfDsWz20.

$isValid = validate_pass($hash, "miPassword");
echo $isValid ? 'válida' : 'no válida'; // válida
?>

Además esta implementación incluye el uso de una sal para prevenir ataques con rainbow tables que son tablas pre-generadas de contraseñas comunes. En este post puedes encontrar más detalles sobre el almacenamiento seguro de contraseñas.

1
  • Gracias por tu aportacion, me ha ayudado mucho. Y que método es el más seguro para encriptar contraseñas de correo electrónico, que posteriormente tengo que desencriptar para porder usar. Mcrypt?
    – osbragon
    Commented el 15 jun. 2016 a las 15:19
1

Mejor o peor son términos muy subjetivos algunas veces, y depende mucho de la experiencia y el caso concreto.

Te puedo decir una buena forma de hacerlo

<?php

    $myPassword = 'foobar';

    $opciones = [
        'cost' => 12,
    ];

    $password = password_hash($myPassword, PASSWORD_BCRYPT, $opciones);

?>

Para el cifrado de doble sentido, puedes usar openssl_encrypt y openssl_decrypt

0
-1

Encriptalo desde PHP

<?php
$password = 'Este es mi password';
$passwordMD5 = md5($password);
?>

Espero te haya servido, saludos!

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.