Según he leido SHA-2 no es seguro y hace falta usar una encriptación más fuerte. He visto que en PHP se puede usar password_hash()
.
¿La salida de esa función sería suficiente encriptación?
Según he leido SHA-2 no es seguro y hace falta usar una encriptación más fuerte. He visto que en PHP se puede usar password_hash()
.
¿La salida de esa función sería suficiente encriptación?
He encontrado una respuesta de Stackoverflow en inglés que me responde a la pregunta Secure hash and salt for PHP passwords.
La respuesta mas votada dice que no se debe hacer hash con SHA1, MD5 o SHA256 porque los crackers modernos pueden superar los 180 miles de millones de hash por segundo por lo que no les cuesta romperla.
Y la segunda más votada recomienda no escribir nuestro propio mecanismo, sino usar la función de PHP password_hash()
. Ejemplo de password_hash()
:
$pass = $_POST['password'];
$passHash = password_hash($pass, PASSWORD_BCRYPT);
El algoritmo BCRYPT nos creará una cadena de 72 caracteres como máximo, la cual es distinta cada vez que se codifica, por lo que para comprobar que la contraseña introducida es la correcta debemos usar la función password_verify()
:
password_verify($pass, $passHash)
La mejor opción (según el manual de PHP) es utilizar password_hash() para encriptar la clave y recuperarla luego de la base de datos mediante el uso de password_verify()
Si bien la opción de incluir un $salt propio está incluida en la función password_hash(), se recomienda no utilizar un salt y dejar eso en manos de PHP que genera uno en forma automática y que resulta mucho más seguro que cualquier tipo de salt que podamos incluir por nuestra cuenta, del modo que se nos ocurra. De hecho, en varias partes del manual de PHP se ruega encarecidamente NO usar un salt propio para las claves volcadas a esta función ya que debilitarían la fortaleza de la misma. (De hecho en la versión 7 de PHP ya se considera obsoleta esta opción y arrojará un error en tiempo de ejecución).
En cuanto al parámetro "cost" que se puede añadir, sí resulta una medida accesoria de seguridad, pero es necesario tenerla en cuenta de acuerdo al servidor donde se está utilizando dicha función debido a la carga de trabajo sobre el servidor para crear un hash de clave más robusto.
El código sugerido es:
$opciones = [ 'cost' => 12, ];
password_hash($tu_propia_clave, PASSWORD_BCRYPT, $opciones);
Por lo general, un coste de 12 es bastante seguro y produce una carga de trabajo del servidor que es tolerable (por regla general, en algunos casos será necesario realizar diversas pruebas para evaluar que la "función tome menos de 100 milisegundos en sistemas interactivos." -SIC-). Si no se indica el array que contiene dicho coste (debe estar sí o sí incluído en un array) su valor es de 10 como valor predeterminado.
El ejemplo para validar la clave recuperada desde la BD contra la que ingresa un usuario, sería algo así:
$hash_BD = $objeto_bd->valor_hash_recuperado;
if (password_verify($tu_propia_clave, $hash_BD)) {
echo '¡La contraseña es válida!';
} else {
echo 'La contraseña no es válida.';
}
Como siempre, en caso de requerir más información siempre es mejor ir a la fuente: PHP.NET - Función password_hash()
Complementando la respuesta de Carlos Quiroga, una buena posibilidad es utilizar un salt dinámico que se base en la contraseña del usuario. Por ejemplo:
<?PHP
$user_pass = 'Mi_Pasw0rd';
$salt = md5($user_pass);
$pasword_encriptado = crypt($user_pass, $salt);
echo $pasword_encriptado;
?>
No obstante, guardar la contraseña en la base de datos en forma segura, no es lo único de lo que hay que preocuparse, ya que hay que cubrir distintos flacos de posibles ataques. Una posibilidad es utilizar Token de seguridad creados en forma aleatoria en la página de Login para evitar ataques de tipo CSRF. Este sería un ejemplo muy escueto y simple pero demostrativo de cual es la idea:
<HTML> <!-- Formulario de Login-->
<input name="token" id="token" type="hidden" value='<?= md5(time()); ?>'>
</HTML>
<?PHP /*Página de inicio de sesión */
/* Si las credenciales de usuario se validan se abre una sesión y */
/* se agrega el token a la variable $_SESSION .*/
$token = crypt($_POST['token']);
$_SESSION["token"] = $token;
?>
El token se puede almacenar en la base de datos, en la tabla de usuarios y ser comparado en un archivo de seguridad, la particularidad el token es único por usuario y por session
<?PHP /*Página de control */
....
$result = $stm->fetch(PDO::FETCH_ASSOC);
$token= $result['Token'];
if ($_SESSION["token"] != $token ) {
header("Location: login.php");
exit();
}
?>
De esta forma tienes una contraseña de usuario encriptada y una contraseña dinámica que nadie más conoce.
Intenta:
$INSERT INTO usuarios VALUES('usuario',SHA('contraseña'));
$INSERT INTO usuarios VALUES('usuario',MD5('contraseña'));
Eche un vistazo a este enlace:
http://www.solingest.com/blog/almacenar-contrasenas-en-mysql
¿Cuál es el problema con SHA-2
? Quizás te refieres que la familía SHA-1
es vulnerable (así es)
El recomendado como mínimo es SHA256
. Pero cuanto mejor sea, mejor seguridad tendrás. De hecho, se considera que SHA512
con Salt
es muy seguro.
prueba md5($var);
es bastante seguro, puedes leer un poco mas aqui
A mi se me ocurre que podrias grabar un bloque de ceros o otro caracter y encriptarlo con el modulo mcrypt de php y cuando el usuario coloque una contraseña el programa simplemente revisa si el bloque queda en el caracter original