10

Tengo acceso a una base de datos (SQLite). Y la contraseña almacenada en la base de datos esta encriptada o cifrada, no lo se la verdad, no se mucho de este tema.

En el DB Browser me aparecían signos extraños, así que hice una consulta a la base de datos atraves de python y me dio como resultado la contraseña en bytes:

b'v11\x94\xd7\xb1]\x88\xef*u\xe2\x01\x03(\xd6d\xb2\xe4'

Intente decodificarla a utf-8 pero me daba error.

¿Hay alguna manera de desencriptar o descifrar esa contraseña?

La contraseña en texto plano es: "JV-sh2016"

8
  • Generalmente, si se tiene un poco de sentido común, lo que se guarda en la base de datos no es la contraseña codificada o sin codificar sino un hash de la misma (MD5, SHA, ...). De esta forma no se almacena la contraseña y si la base de datos cae en manos equivocadas no tenemos un enorme marrón. Cuando el usuario ingresa la contraseña se calcula el hash y se compara con el de la BD. Si no tienes más información va a ser difícil saber que es eso, por poder puede ser una cadena con codificación LAtin-1 ("v11×±]ï*uâ(Öd²ä") pero no creo....
    – FJSevilla
    el 25 jul. 2019 a las 20:41
  • Es la base de datos de Chrome, donde se guardan las contraseñas guardadas. Pero si fuera un hash por que lo devuelve en bytes? el 25 jul. 2019 a las 20:42
  • Se la contraseña. eso te puede servir para saber como descifrarla? el 25 jul. 2019 a las 20:47
  • 1
    Saludos en efecto seria util si agregas la clave en texto plano y la clave cifrada para poder determinar que tipo de encriptacion usa..!! el 25 jul. 2019 a las 20:49
  • Ok ya actualice la pregunta, y puse la contraseña. el 25 jul. 2019 a las 20:52

1 respuesta 1

15

Sobre contraseñas en bases de datos

Cuando la contraseña se guarda en una base de datos para validar si un usuario es quien dice ser (es decir, si el usuario conoce la contraseña), normalmente nunca se almacena en texto plano, pues si la base de datos cae en malas manos se tendrían las contraseñas de los usuarios.

Ni siquiera se suele guardar cifrada, pues el servidor que quiera verificar la contraseña del usuario debería descifrarla para poder compararla con la que el usuario le envía. Y para descifrar esa contraseña haría uso de alguna clave, que debería formar parte del código del servidor, o estar en algún archivo de configuración, de modo que si el servidor cae en malas manos, el atacante no tiene más que usar esa misma clave para descifrar todas las contraseñas.

¿Cómo lo hace entonces el servidor? Pues utiliza una función llamada hash criptográfico que permite convertir cualquier cadena de bytes (en este caso la contraseña del usuario) en otra cadena irreconocible y además sin vuelta atrás, es decir, que una vez aplicado el hash, y almacenado ese resultado, es imposible a partir del hash recuperar cuál era la contraseña original.

¿Cómo puede entonces el servidor comparar la contraseña que el usuario le envía con la que tiene almacenada, si a partir de ésta no puede reconstruir la original? La respuesta es que no necesita hacerlo. Le basta aplicar la misma función hash a la contraseña que el usuario le envía y comparar lo que le sale con lo que está almacenado en la base de datos. Si sale lo mismo, es que era la misma contraseña, pues dos contraseñas diferentes no pueden dar lugar al mismo hash (por cómo está diseñada la función hash).

Así se logra el objetivo de autenticar al usuario sin necesidad de guardar su contraseña. Un atacante que obtenga la base de datos no puede obtener la contraseña salvo por fuerza bruta. Este método consiste en ir probando una a una todas las contraseñas posibles, haciendo el hash de cada una y comparando lo que sale con lo que hay en la base de datos. Si encuentra una coincidencia ¡ha pillado la contraseña! Por eso es importante usar contraseñas muy largas, pues de este modo el número de combinaciones que el atacante tiene que probar antes de dar con la clave es prohibitivo.

Las contraseñas almacenadas en Chrome

Pero en tu caso, mencionas en un comentario que la contraseña está almacenada en una SQLite en Chrome. Esto lo cambia todo.

En este caso la contraseña no se guarda para ver si el usuario la sabe. ¡Todo lo contrario! Se hace para evitar que el usuario tenga que recordarla. Por tanto en este caso almacenar un hash no serviría de nada, pues Chrome necesita obtener la contraseña original para usarla en los formularios sin que el usuario tenga que teclearla.

Guardarla en texto claro podría ser una opción, pero si alguien robara la base de datos SQLite del navegador (por ejemplo, debido a un agujero de seguridad un atacante puede tener acceso al disco y copiar ese fichero), obtendría las claves del usuario.

Guardarla cifrada con una "clave maestra" tampoco es buena opción, pues, o bien esa clave ha sido elegida por los desarrolladores de Chrome, lo que implicaría que de algún modo forma parte del propio navegador y por tanto podría ser encontrada por los atacantes (que necesitarían hacer ingeniería inversa del navegador, pero una vez obtenida podrían descifrar todas las contraseñas de todos los usuarios de Chrome a cuyo fichero de claves puedan tener acceso), o bien la clave maestra es elegida por el usuario, lo que en cierta forma estropea un poco la comodidad del "autorellenado de formularios", si hay que pedirle al usuario esa clave maestra para poder descifrar las contenidas en el archivo.

La solución utilizada por Chrome es perdirle al sistema operativo que encripte la contraseña (y que la desencripte de nuevo cuando Chrome la necesite para usarla en un formulario). La "clave maestra" que cifrará esas contraseñas depende entonces del operativo y no es ya responsabilidad de Chrome mantenerla a salvo.

En el caso de Windows, Chrome usa la función CryptUnprotectData(), y en el de OSX usa el "anillo de claves del sistema".

Esto permite escribir un sencillo script python como este que, llamando a la API de Windows, descifre las claves.

La sencillez de ese código ha alarmado a más de uno que piensa que entonces es trivial obtener las claves de un usuario. Lo cierto es que no lo es tanto, ya que para que la función CryptUnprotectData pueda descifrar la contraseña, requiere una "clave maestra" y la que usa en este caso se basa en el Login de usuario. De modo que si yo robara tu fichero SQLite de claves e intentara descifrarlo en mi máquina usando ese programa python, fracasaría porque en mi máquina mi login es distinto del tuyo, la clave maestra no será la misma, y las contraseñas no podrán ser descifradas. Para tener éxito necesitaría ejecutar ese script en tu misma máquina, y habiendo hecho login con tus credenciales.

Actualización: linux

La versión para Linux de Chrome puede guardar las claves cifradas o en texto plano, según la opción que se le pase al arrancar mediante --password-store (más info aqui). Por defecto intentará detectar la mejor opción. Si el sistema usa Gnome, utilizará Gnome Keyring, y si usa KDE, usará KWallet. Si no encuentra ninguno de los dos, usará texto plano.

Tanto Gnome Keyring como KWallet son almacenes de claves protegidos por una frase de paso. Cuando Chrome necesita acceder a esta funcionalidad, solicitará al usuario la frase de paso (que guardará en RAM para no volver a solicitarla hasta que no se cierre Chrome).

Tratar de descifrar el archivo de contraseñas de Chrome en Linux por tanto requiere acceder por programa a la API de estos gestores de claves. Parece que una forma relativamente sencilla (aunque no tanto como en Windows) sería utilizar la biblioteca keyring para python, la cual soporta varios gestores de claves diferentes, entre ellos los antes mencionados (Gnome Keyring y KWallet) además del Keyring de OSX.

6
  • Muchas gracias por tu respuesta!, Pero habría una manera de desencriptar la contraseña en linux? el 25 jul. 2019 a las 21:43
  • Si el Chrome se ejecuta también en Linux, seguro que es posible (pues tendrá un mecanismo similar al CryptUnprotectData(), pero habría que saber cuál). Lo que no podrás es descifrar en Linux un archivo tomado de una máquina Windows. De todas formas, puedes verlas desde dentro de Chrome
    – abulafia
    el 25 jul. 2019 a las 21:44
  • Y pues ese mecanismo en linux esta oculto, es decir aun nadie sabe sobre el funcionamiento de dicho mecanismo en linux que utiliza chrome? el 25 jul. 2019 a las 21:48
  • Ok muchas gracias por resolver mis dudas! Saludos!! :-) el 25 jul. 2019 a las 21:53
  • @JulioCesar He ampliado la respuesta con el resultado de mis averiguaciones
    – abulafia
    el 25 jul. 2019 a las 22:03

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.