2

tengo la siguiente cuestión, necesito hacer un proyecto en windows forms que consulte datos de una base de SQL que fue generada por Entity Framework, entonces estoy tratando de comparar contraseñas entre la que ingreso por WF con la que tengo en la base de datos, la cuestion está en que EF encripta los datos de la contraseña y por tanto si lo tengo que comparar pues, necesito desencriptarlo. Esto es una suposición, no se haya otra forma de comparar estos datos. Y pues este es el código que tengo

private void Button_Click(object sender, RoutedEventArgs e)
    {
        var email = EmailInput.Text;
        var pass = PassInput.Password;
        email = email.Replace(" ", "");
        if (email == "" )
        {
            EmailInput.Focus();
            Errorlbl.Content = "Por favor utiliza un mail valido";
        }
        else if (pass == "")
        {
            PassInput.Focus();
            Errorlbl.Content = "Por favor utiliza una contraseña";
        }
        else if (email != null && pass != null)
        {
            using (DBEnt db = new DBEnt())
            {
                var qu = db.AspNetUsers.Where(u => u.Email.Equals(email)).FirstOrDefault();
                var hashedpassword = qu.PasswordHash;
                var hashed = _security.Encrypt(pass, hashedpassword);
                var item = db.AspNetUsers.Where(u => u.Email.Equals(email) && u.PasswordHash.Equals(hashed)).FirstOrDefault();

                if (item == null)
                {
                    Errorlbl.Content = "Usuario mail invalido";
                }
                else
                {
                    Errorlbl.Content = "Usuario valido";
                }
            }
        }
    }

Esto es lo que me devulve mi hash

1/206na1dXSftO6g6UF7bzewcU0+JbJyQJNb98CJwM0r/BRr54oKFOQxAZzNl2VLSijBTXyjtiXwErexjbdeg/WJfb4EZ61gJcSWfL1zfzg=

y este es el hash que ASP me generó

ADWrDK7ehKPpf4GDnY0dq/7r4jTPOlaPZmWGWtBAqcYFmdd3XslLYh9qifqaOFrG1g==

Quiza me estoy complicando mucho, alguien sabe como puedo hacer esto mejor o si lo estoy haciendo bien?

6
  • 3
    Me detuve aquí: "necesito desencriptarlo", a ver hermano, la cosa es simple: En este tipo de escenarios se compara Hash de la BD con Hash del password que has ingresado. La pregunta del millón: ¿Cómo es que están "hasheando" las claves?
    – fredyfx
    Commented el 21 oct. 2019 a las 6:42
  • Estoy usando una bd que generé con un proyecto en entity framework, así que la contraseña la encrypto con el metodoo public virtual Task<IdentityResult> ConfirmEmailAsync(TKey userId, string token); , entonces lo que me sugieres que convierta en hash la contraseña que recibo y ese hash lo compare con en el de mi base de datos? Commented el 21 oct. 2019 a las 13:46
  • 2
    Tal cual lo estás diciendo. ¡Buena suerte!
    – fredyfx
    Commented el 21 oct. 2019 a las 15:16
  • @fredyfx hola fred, intenté hacer lo que dices encryptando lo que recibo con sha256, pero da cadenas de diferentes aunque use la misma password Commented el 21 oct. 2019 a las 21:39
  • 1
    Creo que no me dejé entender, el cifrado que utilizas para registrar usuarios debe ser el mismo cifrado para generar el hash
    – fredyfx
    Commented el 21 oct. 2019 a las 21:44

2 respuestas 2

1

Esto no es respuesta a la pregunta, pero por aclarar y ampliar un poco lo que te quiere decir @fredyfx:

Imagínate que creas un usuario con la contraseña "ophanim". Lo que se suele hacer es usar una función hash (veo que estas tratando de usar sha256) y "digerir" la contraseña. El resultado es una cadena nueva, imagínate que el resultado de digerir "ophanim" es "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f".

sha256("ophanim") == "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f"

Lo que hacemos es guardar en base de datos "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f" para no guardar la contraseña original y que alguien con acceso a la base de datos de un vistazo puede sacarlas.

Cuando queramos hacer login con ese usuario, lo que deberemos hacer es cojer lo que ha escrito el usuario y digerirlo con la misma función hash. Entonces comparamos ese valor con lo que hemos guardado con la base de datos.

Ejemplo de contraseña correcta:

Usuario introduce "ophanim"
Se digiere a "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f"
Coincide con lo que hay en la base de datos "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f"
CONTRASEÑA CORRECTA

Ejemplo de contraseña incorrecta:

Usuario introduce "rawdriguez"
Se digiere a "9a9a96e4e30892275a9a3d28c5bb593a68b083b6be74a04165550c5d55b16d22"
No coincide con lo que hay en la base de datos "257232f62ff67cc1e351fcc14317424bcd6aa1896ed2a9f1cc20b5c190e37b6f"
CONTRASEÑA INCORRECTA

Si ya te metes a hacer las cosas bien con el hash del password, intenta también meterle "sal" al password. ¿En qué consiste esto?

Cuando vayas a guardar el password por primera vez, generas aleatoriamente una cadena, que se le suele llamar "sal".

Por ejemplo, imaginate que cuando vayas a crear el usuario generas esta sal:

randomSalt() == "x21g34jh"

Lo que tendrías que hacer ahora es digerir el password concatenado con la sal:

sha256("ophanimx21g34jh") == "431c81738b70b13ed418e8acf406b93b1803c4a7890c165489ca2232bad9108c"

Guardarías estos dos valores en base de datos, la sal y el resultado de la función hash.

Ahora cuando quieras verificar una contraseña, tendrás que cojer la sal para generar el resultado de la función hash:

Usuario introduce "ophanim"
Se concatena "ophanim" con la sal: "x21g34jh"-> "ophanimx21g34jh" y se digiere
"431c81738b70b13ed418e8acf406b93b1803c4a7890c165489ca2232bad9108c"
Coincide con lo que hay en la base de datos "431c81738b70b13ed418e8acf406b93b1803c4a7890c165489ca2232bad9108c"
CONTRASEÑA CORRECTA

Para un caso incorrecto:

Usuario introduce "rawdriguez"
Se concatena "rawdriguez" con la sal: "x21g34jh"-> "rawdriguezx21g34jh" y se digiere
"ca98249bed5443dec030a648bb45d8f029d8c9be407063f687e7e0cbc5228c8b"
No coincide con lo que hay en la base de datos "431c81738b70b13ed418e8acf406b93b1803c4a7890c165489ca2232bad9108c"
CONTRASEÑA INCORRECTA

Con esto evitas que una persona genere un diccionario de contraseñas con passwords frecuentes y que pueda descifrar contraseñas de tu base de datos haciendo mano de su diccionario.

  1. https://es.wikipedia.org/wiki/Funci%C3%B3n_hash
  2. https://es.wikipedia.org/wiki/Sal_(criptograf%C3%ADa)
1
public partial class MainWindow : Window
{
    private Models.SecurityController _security;
    public MainWindow()
    {
        InitializeComponent();
        _security = new Models.SecurityController();
    }

    private void Button_Click(object sender, RoutedEventArgs e)
    {
        var email = EmailInput.Text;
        var pass = PassInput.Password;

        //si el correo esta mal no tendrías por que quitarle espacios al email, deberias regresarle error
        //email = email.Replace(" ", "");
        if (email == "" )
        {
            EmailInput.Focus();
            Errorlbl.Content = "Por favor utiliza un mail valido";
        }
        else if (pass == "")
        {
            PassInput.Focus();
            Errorlbl.Content = "Por favor utiliza una contraseña";
        }
        else if (email != null && pass != null)
        {
            using (DBEnt db = new DBEnt())
            {
                var hashed = _security.Encrypt(pass, hashedpassword);
                var item = db.AspNetUsers.Where(u => u.Email.Equals(email) && u.PasswordHash.Equals(hashed)).FirstOrDefault();

                if (item == null)
                {
                    Errorlbl.Content = "Usuario mail invalido";
                }
                else {
                    Errorlbl.Content = "Usuario valido";
                }
            }
        }
    }
}
1
  • pues me dió hash diferentes editaré mi pregunta y agregaré la información Commented el 25 oct. 2019 a las 14:17

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.