26

Según he leido SHA-2 no es seguro y hace falta usar una encriptación más fuerte. He visto que en PHP se puede usar password_hash().

¿La salida de esa función sería suficiente encriptación?

3
  • 1
    Puedes checar este enlace acerca de crypt
    – jasilva
    Commented el 22 ene. 2016 a las 19:30
  • También te puede interesar leer OWASP: Password Storage Cheat Sheet
    – El Asiduo
    Commented el 8 sept. 2016 a las 12:28
  • md5 ya no es un algoritmo seguro porque fue vulnerado ya hace bastante tiempo, porfavor no uses md5. En la misma pagina que cita Jhousef Flores hay una nota al respecto: Nota: Hash seguro de contraseñas Dada la velocidad de este algoritmo de hash, se recomienda no utilizar esta función para proteger las contraseñas. Para más información, revise aquí.
    – Djiner
    Commented el 21 mar. 2017 a las 13:55

7 respuestas 7

23

He encontrado una respuesta de Stackoverflow en inglés que me responde a la pregunta Secure hash and salt for PHP passwords.

La respuesta mas votada dice que no se debe hacer hash con SHA1, MD5 o SHA256 porque los crackers modernos pueden superar los 180 miles de millones de hash por segundo por lo que no les cuesta romperla.

Y la segunda más votada recomienda no escribir nuestro propio mecanismo, sino usar la función de PHP password_hash(). Ejemplo de password_hash():

$pass = $_POST['password'];    
$passHash = password_hash($pass, PASSWORD_BCRYPT);

El algoritmo BCRYPT nos creará una cadena de 72 caracteres como máximo, la cual es distinta cada vez que se codifica, por lo que para comprobar que la contraseña introducida es la correcta debemos usar la función password_verify():

password_verify($pass, $passHash)
0
5

La mejor opción (según el manual de PHP) es utilizar password_hash() para encriptar la clave y recuperarla luego de la base de datos mediante el uso de password_verify()

Si bien la opción de incluir un $salt propio está incluida en la función password_hash(), se recomienda no utilizar un salt y dejar eso en manos de PHP que genera uno en forma automática y que resulta mucho más seguro que cualquier tipo de salt que podamos incluir por nuestra cuenta, del modo que se nos ocurra. De hecho, en varias partes del manual de PHP se ruega encarecidamente NO usar un salt propio para las claves volcadas a esta función ya que debilitarían la fortaleza de la misma. (De hecho en la versión 7 de PHP ya se considera obsoleta esta opción y arrojará un error en tiempo de ejecución).

En cuanto al parámetro "cost" que se puede añadir, sí resulta una medida accesoria de seguridad, pero es necesario tenerla en cuenta de acuerdo al servidor donde se está utilizando dicha función debido a la carga de trabajo sobre el servidor para crear un hash de clave más robusto.

El código sugerido es:

$opciones = [  'cost' => 12, ];

password_hash($tu_propia_clave, PASSWORD_BCRYPT, $opciones);

Por lo general, un coste de 12 es bastante seguro y produce una carga de trabajo del servidor que es tolerable (por regla general, en algunos casos será necesario realizar diversas pruebas para evaluar que la "función tome menos de 100 milisegundos en sistemas interactivos." -SIC-). Si no se indica el array que contiene dicho coste (debe estar sí o sí incluído en un array) su valor es de 10 como valor predeterminado.

El ejemplo para validar la clave recuperada desde la BD contra la que ingresa un usuario, sería algo así:

$hash_BD = $objeto_bd->valor_hash_recuperado;

if (password_verify($tu_propia_clave, $hash_BD)) {
    echo '¡La contraseña es válida!';
} else {
    echo 'La contraseña no es válida.'; 
}

Como siempre, en caso de requerir más información siempre es mejor ir a la fuente: PHP.NET - Función password_hash()

Advertencias de PHP.Net al respecto...

2

Complementando la respuesta de Carlos Quiroga, una buena posibilidad es utilizar un salt dinámico que se base en la contraseña del usuario. Por ejemplo:

<?PHP

$user_pass =  'Mi_Pasw0rd';
$salt = md5($user_pass);
$pasword_encriptado = crypt($user_pass, $salt);

echo $pasword_encriptado;

?>

No obstante, guardar la contraseña en la base de datos en forma segura, no es lo único de lo que hay que preocuparse, ya que hay que cubrir distintos flacos de posibles ataques. Una posibilidad es utilizar Token de seguridad creados en forma aleatoria en la página de Login para evitar ataques de tipo CSRF. Este sería un ejemplo muy escueto y simple pero demostrativo de cual es la idea:

<HTML> <!-- Formulario de Login-->
<input name="token" id="token" type="hidden" value='<?= md5(time()); ?>'>
</HTML>

<?PHP /*Página de inicio de sesión */

/* Si las credenciales de usuario se validan se abre una sesión y */
/* se agrega el token a la variable $_SESSION .*/

$token              =   crypt($_POST['token']);
$_SESSION["token"]  =   $token;

?>

El token se puede almacenar en la base de datos, en la tabla de usuarios y ser comparado en un archivo de seguridad, la particularidad el token es único por usuario y por session

<?PHP /*Página de control */
....
$result = $stm->fetch(PDO::FETCH_ASSOC);
$token= $result['Token'];
if ($_SESSION["token"] != $token ) {

    header("Location: login.php");
    exit();

}   

?>

De esta forma tienes una contraseña de usuario encriptada y una contraseña dinámica que nadie más conoce.

2

Intenta:

$INSERT INTO usuarios VALUES('usuario',SHA('contraseña'));
$INSERT INTO usuarios VALUES('usuario',MD5('contraseña'));

Eche un vistazo a este enlace:

http://www.solingest.com/blog/almacenar-contrasenas-en-mysql

1

¿Cuál es el problema con SHA-2? Quizás te refieres que la familía SHA-1 es vulnerable (así es) El recomendado como mínimo es SHA256. Pero cuanto mejor sea, mejor seguridad tendrás. De hecho, se considera que SHA512 con Salt es muy seguro.

2
  • sha256 es una de las alternativas de sha2, el usario dijo que sha2 no le parece suficientemente seguro (aunque no se por que). es.wikipedia.org/wiki/SHA-2 Commented el 22 ene. 2016 a las 19:59
  • He extendido la respuesta, que quizás no se entendia que quería decir....
    – mhergon
    Commented el 22 ene. 2016 a las 20:06
0

prueba md5($var); es bastante seguro, puedes leer un poco mas aqui

http://php.net/manual/es/function.md5.php

2
  • Hola Jhousef, gracias por participar en el sitio. Las respuestas que consisten en únicamente un enlace no se consideran de buena calidad. ¿Podrías editar tu respuesta para incluir la información más relevante que se expone en el sitio que enlazas?
    – Konamiman
    Commented el 31 ene. 2016 a las 16:10
  • Tal vez para el año que se publico esta respuesta era segura pero actualmente (año 2021) ya no se recomienda, en la documentación dice: No se recomienda utilizar esta función para contraseñas seguras debido a la naturaleza rápida de este algoritmo de «hashing».
    – MR Dev
    Commented el 20 jul. 2021 a las 22:52
-2

A mi se me ocurre que podrias grabar un bloque de ceros o otro caracter y encriptarlo con el modulo mcrypt de php y cuando el usuario coloque una contraseña el programa simplemente revisa si el bloque queda en el caracter original

1
  • Nunca inventes tu propio algoritmo de encriptación. Commented el 26 ene. 2016 a las 6:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.