1

Estoy haciendo un script que codifica una string y lo guarda en la base de datos. Luego comprueba ese string de la base de datos para ver si el usuario esta registrado en la plataforma.

Actualmente uso sha512, pero creo que es aleatorio verdad??

Primero inserto un usuario en la base de datos

$hash= hash('sha512', $string);
query = "INSERT INTO nombre_tabla VALUES(null, '', '', '" . $hash. "', '', '');";

Luego cuando el usuaario se loguea, compruebo que esta en la bbdd

$hash= hash('sha512', $string);
$query = "SELECT id_tabla FROM nombre_tabla WHERE string = '" . $hash . "';";

El problema es que esto no me funciona.

Es porque la funcion de cifrado que utilizo es aleatoria??

6
  • ¿has comprobado manualmente si el valor de la variable $hash es el mismo en ambos casos? (al insertar y al leer). ¿y si coindice con el valor almacenado en la BD?
    – gontrollez
    Commented el 1 jul. 2016 a las 8:23
  • y si utilizas la funcion que trae MySQL de old_password?? query = "INSERT INTO nombre_tabla VALUES(null, '', '', OLD_PASSWORD('".$hash."'), '', '');"; $query = "SELECT id_tabla FROM nombre_tabla WHERE string = OLD_PASSWORD('".$hash."');"; bueno es una opinión :)
    – El Micke
    Commented el 2 jul. 2016 a las 20:31
  • Me gustaría agregar que si vas a usar código hash debes ademas crear algún token ya que 2 palabras (o más) te pueden general el mismo código hash. Commented el 3 jul. 2016 a las 9:01
  • @AlbertoMier pudiste solucionar tu problemática? Si no pudiste coméntalo para intentar indagar un poco más. Un saludo! Commented el 5 jul. 2016 a las 7:34
  • Sii, lo pude solucionar, era un problema en el string que pasaba que no era el mismo @MiquelColl
    – user9099
    Commented el 5 jul. 2016 a las 7:37

2 respuestas 2

1

Tienes algún error con la codificación. Sigue el ejemplo que te expongo, ya que creo que tienes error o con los espacios de la contraseña o bien que no guardas la clave y esta es aleatoria (y entonces no puedes recuperarlo)

Siguiendo lo expuesto en esta respuesta una manera buena y rápida de hacerlo es, partiendo de la contraseña:

$key = 'password to (en/de)crypt'; //Aquí pon lo que quieras y guárdalo en algún sitio dónde solo TU tengas acceso.
$string = ' string to be encrypted '; // fíjate en los espacios

La variable key es la CLAVE que no debes dar NUNCA a nadie y que puedes darle el valor que quieras sin problema. La variable string es lo que queremos codificar. Con sha256 hay más que suficiente.

  1. Encriptación

    $iv = mcrypt_create_iv(
        mcrypt_get_iv_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CBC),
        MCRYPT_DEV_URANDOM
    );
    
    $encrypted = base64_encode(
        $iv .
        mcrypt_encrypt(
            MCRYPT_RIJNDAEL_128,
            hash('sha256', $key, true),
            $string,
            MCRYPT_MODE_CBC,
            $iv
        )
    );
    
  2. Desencriptación

    $data = base64_decode($encrypted);
    $iv = substr($data, 0, mcrypt_get_iv_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CBC));
    
    $decrypted = rtrim(
        mcrypt_decrypt(
            MCRYPT_RIJNDAEL_128,
            hash('sha256', $key, true),
            substr($data, mcrypt_get_iv_size(MCRYPT_RIJNDAEL_128, MCRYPT_    MODE_CBC)),
            MCRYPT_MODE_CBC,
            $iv
        ),
        "\0"
    );
    
4
  • En mi parecer, esta respuesta no responde la pregunta original: "por que no puedo recuperar de la BD el dato?" si no que más bien explica como utilizar otro método de encriptación, no? Commented el 1 jul. 2016 a las 8:08
  • @PabloAlcantar He actualizado mi respuesta, estoy utilizando el mismo método que él pero enseñando paso a paso cómo se hace. Igualmente he añadido un comentario al principio :) Commented el 1 jul. 2016 a las 8:10
  • genial! de todas formas, no entiendo el sentido de aplicar una clave de encriptación/desencriptación, si solamente (según entiendo) desea generar una key mediante la cual recuperar una row desde la BD Commented el 1 jul. 2016 a las 8:11
  • Por lo que dice Alberto en su pregunta se trata de una contraseña, que hace bien en encriptar en Base de Datos :) Commented el 1 jul. 2016 a las 8:13
0

Primero, la función sha512 no es una función aleatoria. Si le pasas una vez o miles de veces el mismo string, esta retornará siempre el mismo hash. Si corres el siguiente comando en tu consola, lo verificarás:

for i in $(seq 1 20); do php -r "echo hash('sha512', 'hola') . PHP_EOL;"; done 

Es importante entender que la funciones sha*, md5,etc son algoritmos asimétricos: No puedes recuperar el valor original a partir del hash generado.

Es recomendable siempre utilizar prepared statements, de forma tal que tus parámetros puedan ser escapados cuando se selecciona o inserta en la BD (en este caso utilizando PDO).

Específicamente, y asumiendo que utilizar PDO, deberías hacer algo como lo siguiente:

$conn = new PDO(...);

$stm = $conn->prepare("INSERT INTO nombre_tabla VALUES(null, '', '', ?, '', ''");

$hash = hash('<algoritmo escogido>', $string);
$stm->execute(array($hash));

y luego para seleccionar:

$stm = $conn->prepare($query = "SELECT id_tabla FROM nombre_tabla WHERE string = ?");

$hash = hash('<algoritmo escogido>', $string);
$stm->execute(array($hash));

Además, es importante mencionar que la función hash retorna un string en formato hexadecimal, por lo que no es necesario aplicarle ningún transformación extra posterior (base64 por ejemplo).

Se me ocurre que el problema que puedes tener es que tu campo en la base de datos tenga un largo menor al generado por la función de hashing. Toma en cuenta que sha512 genera un hash de 128 caracteres de largo:

$ php -r "echo strlen(hash('sha512', 'hola'));" # correr en una consola

por lo que se corta al guardar y cuando lo intentas recuperar, compara un string más corto con uno más largo.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.