11

Necesito saber cómo funcionan los mecanismos de hash() o password_hash() Estoy haciendo una aplicación y quiero encriptar para que así se almacene en la base de datos y cuando quiera comparar esa cadena ingresada en un login no me arroje un error. Por ejemplo

$pass="pepito";
$hashed_pass = password_hash($pass, PASSWORD_DEFAULT);
insert into tabla (password) values ($hashed_pass);

Y cuando vaya a consultar me regrese el valor pero que decifre el valor que se envío cifrado

Por ejemplo

$pass="pepito";
select password from tabla where password = $pass;

Obviamente me lanzará un error por que antes debo de pasar la contraseña al algoritmo de hash, sin embargo hice unas pruebas y cada vez que doy hash, cambia totalmente el algoritmo, eso me impide comparar la contraseña en la base de datos y me traiga los valores

Ayuda, gracias.

5 respuestas 5

12

Te voy a dejar un ejemplo como guardar de metodo segura la contraseña con password_hash(), no aplicaria un md5 solo, ya que existen páginas donde podemos descrifrar facilmente las contraseñas md5, por ejemplo.

http://md5cracker.org/

Veamos el funcionamiento password_hash(), crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido. password_hash() es compatible con crypt(). Por lo tanto, los hash de contraseñas creados con crypt() se pueden usar con password_hash().

//Obtenemos contraseña desde un form.
$contrasena = $_POST['contra'] ?: '';

//Encriptamos de manera segura la contraseña
$contrasena = password_hash(
                    base64_encode(
                        hash('sha256', $contrasena, true)
                    ),
                PASSWORD_DEFAULT
            );


//Sentencia SQL.
$stmt = $conexion->prepare("INSERT INTO tabla (password) VALUES (?)");

//Ligamos parametros marcadores.
$stmt->bind_param("s",$contrasena);

//Ejecutamos sentencia.
$stmt->execute();

//Cerramos sentencia.
$stmt->close();

Ahora vemos como podemos verificar la contraseña insertada con hash_equals.

hash_equals — Comparación de strings segura contra ataques de temporización

$contrasena = $_POST['contra'] ?: '';    

//Encriptamos de manera segura la contraseña
$contrasena = password_hash(
                    base64_encode(
                        hash('sha256', $contrasena, true)
                    ),
                PASSWORD_DEFAULT
            );

//Sentencia SQL
$stmt = $conexion->prepare("SELECT password FROM tabla WHERE password = ?";

//Ligamos parametros marcadores.
$stmt->bind_param("s",$contrasena);

//Ejecutamos sentencia.
$stmt->execute();  

$stmt->store_result();
if($stmt->num_rows===1) {

    $stmt->bind_result($contrasenaBD);
    $stmt->fetch();
    $stmt->close();

   if (hash_equals($contrasena,$contrasenaDB) {
      //Hacemos algo.
   }        

} else { $stmt->close(); }

Ejemplo a tu segunda prejunta.

if(isset($_REQUEST["login_pass"])){$login_pass = $_REQUEST["login_pass"];}else{$login_pass = "";}
require 'conexion.php';

$login_pass = "2000000";

$contrasena = password_hash(
    base64_encode(
        hash('sha256',$login_pass, true)
    ),
    PASSWORD_DEFAULT
);

//password_verify — Comprueba que la contraseña coincida con un hash, asique no debes volver a hashearla con password_hash.

$sql_in="SELECT LIDER_EXPLOIT FROM LIDERES WHERE LIDER_EXPLOIT ='".$contrasena."'";

$result = mysqli_query($conn,$sql_in);
$row=mysqli_fetch_array($result);

//Comprobación -> Contraseña -> OK
if (password_verify(
        base64_encode(
            hash('sha256', $login_pass, true)
        ),
        $row["LIDER_EXPLOIT"]
)) {

  echo 'es igual';
}
else
{
  echo 'no es igual';
}
9
  • Gracias, por tu apoyo, ya entendí casi todo, solo una última pregunta en la sentencia $sql_in="SELECT LIDER_EXPLOIT FROM LIDERES WHERE LIDER_EXPLOIT ='".$contrasena."'"; En la comparación con LIDER_EXPLOIT debería ser comparada con $login_pass cierto? ya que $contrasena esta comentada. Solo esa última pregunta Commented el 14 nov. 2016 a las 0:20
  • Si, te modifico mi ejemplo actual, realmente lo puse como comentario para que lo entendieras. Alli si que debes, porque en la BD guarda las contraseñas encryptado, y debes encryptar el password de la misma manera para su comprobación en MySQL, alli si que debes añadir el password_hash..
    – D.Bulten
    Commented el 14 nov. 2016 a las 0:44
  • Que sentido tiene que envuelvas la contraseña en base64 y sha512? Commented el 28 nov. 2016 a las 23:04
  • @aldanux Sha256 para evitar que no se trunca a los 72 caracteres. Luego existe la posibilidad de no trivial que uno de los bytes primas en el hash habrá 0x00. Cuanto antes este byte aparece en la cadena, el costo de encontrar una colisión se vuelve exponencialmente más barato. Por ejemplo, tanto 1]Wy @1$ producir una salida de hash SHA-256 que comienza con ab00. La solución, por tanto, sería pasar el hash SHA-256 de salida a través de prima base64_encode() antes de pasarlos a Bcrypt.
    – D.Bulten
    Commented el 28 nov. 2016 a las 23:36
  • Además, es posible que utilices SHA-384 en lugar de SHA-256, ya que SHA-256 es vulnerable a los ataques de la longitud de extensión y SHA-384 no lo es.
    – D.Bulten
    Commented el 28 nov. 2016 a las 23:45
1

Realmente no es recomendable guardar una contraseña que se pueda desencriptar de manera tan fácil. Si al final la contraseña se puede descrifar mediante un método común, cuál es el punto de guardarla encriptada?

Lo que se hace usualmente es guardar la contraseña encriptada (con MD5 o SHA1 por ejemplo) y luego al momento de hacer alguna comparación, se escripta la cadena a comparar y se compara con la contraseña encriptada que ha sido guardada en la base de datos. Esta encriptación la puedes hacer a nivel de PHP o MySQL mediante las funciones MD5 o SHA1. Te dejo un enlace donde hablan al final sobre este tema: http://blog.aulaformativa.com/consultorio-desarrollo-web/

2
  • Es cierto que guardar una contraseña en texto plano es muy MALA idea, pero md5 y sha1 se están haciendo viejos incluso usando combinación de ambos esto sigue siendo inseguro. Hay funciones en PHP para el manejo de contraseñas, lo más sencillo es utilizar password_hash
    – AntoTGa
    Commented el 12 nov. 2016 a las 20:06
  • En realidad MD5 y SHA-1 NO son algoritmos de encriptación o cifrado, son algoritmos de digestión cuyo propósito es generar un valor de tamaño fijo a partir de una entrada de tamaño arbitrario y que sea diferente en caso de una mínima variación en el valor de entrada. Por otra parte, están diseñados para ejecutarse de manera eficiente y rápida, a diferencia de algoritmos como BCrypt, Scrypt o PBKDF2 que están diseñados para tener un costo elevado para mitigar el riesgo de ataques de fuerza bruta.
    – Xint0
    Commented el 3 mar. 2017 a las 17:41
1

Al igual que la contraseña la cifras con password_hash y te devuelve una cadena como:

$2y$10$Wvx7Sdsbt7L7BiGC0QuxYeqQVaGSsTd.NxQ9JMAbMNOK6zic2WkaO

Existe una función para comparar si un hash corresponde a una contraseña que es introducida en texto plano. password_verify devuelve TRUE o FALSE.

$hash = '$2y$10$Wvx7Sdsbt7L7BiGC0QuxYeqQVaGSsTd.NxQ9JMAbMNOK6zic2WkaO';

if(password_verify('123456', $hash)){
    echo 'Contraseña correcta.';
} else {
    echo 'Contraseña incorrecta.';
}
0

Buenos dias.

Lo que yo hago para encryptar las contraseñas en guardarlas en MD5, utilizo: $password = md5($_POST['password']) y para insertar hago:

insert into tabla values ($password);

Para hacer la consulta realizaría

select password from tabla where password = $password;
7
  • Gracias, se dice que MD5 y SHA ya son vulnerables, conoces otro mecanismo? :D Commented el 12 nov. 2016 a las 17:43
  • Puedes tomar en cuenta el siguiente link y escoger el metodo que mas te convenga [dbavanzado.wikispaces.com/Encriptaci%C3%B3n]
    – J. Castro
    Commented el 12 nov. 2016 a las 17:49
  • Hola J. Castro, md5 como algoritmo de cifrado de datos es bastante eficaz, lo que ocurre que al ser tan fácil y rápido calcularlo ya existen bases de datos con sus correspondientes md5 y sus transcripciones.
    – AntoTGa
    Commented el 12 nov. 2016 a las 19:16
  • @AntoTGa muy buen consejo lo tomare en cuenta para próximos desarrollos
    – J. Castro
    Commented el 12 nov. 2016 a las 19:19
  • 1
    Nunca en la vida cifres contraseñas con MD5 ni SHA (aunque SHA tiene varias versiones e igual alguno serviría), MD5 es facilísimo de descifrar Commented el 12 nov. 2016 a las 20:21
0

Con lo que me dijeron he podido armar este código:

Ingresé las contraseñas ya hasheadas, ya están así en la base de datos, hice este código:

require 'conexion.php';
$sql = "SELECT LIDER_NOMINA FROM LIDERES";
$result = mysqli_query($conn,$sql);
while ($row=mysqli_fetch_array($result))
{
  $sql_in="UPDATE LIDERES SET LIDER_EXPLOIT =
  '".password_hash(base64_encode(hash('sha256',$row["LIDER_NOMINA"])),PASSWORD_DEFAULT)."' WHERE LIDER_NOMINA = '".$row["LIDER_NOMINA"]."'";
  mysqli_query($conn,$sql_in);
}

Ahora quiero comparar las contraseñas, como por ejemplo, un 2000000. Armé el código así:

if(isset($_REQUEST["login_pass"])){$login_pass = $_REQUEST["login_pass"];}else{$login_pass = "";}
require 'conexion.php';

$login_pass = "2000000";

$contrasena = password_hash(
    base64_encode(
        hash('sha256',$login_pass, true)
    ),
    PASSWORD_DEFAULT
);

$sql_in="SELECT LIDER_EXPLOIT FROM LIDERES WHERE LIDER_EXPLOIT ='".$contrasena."'";

$result = mysqli_query($conn,$sql_in);
$row=mysqli_fetch_array($result);
if (password_verify($contrasena,$row["LIDER_EXPLOIT"]))
{
  echo 'es igual';
}
else
{
  echo 'no es igual';
}

Pero no he podido hacerlo, me regresa que "no es igual", ¿Que hice mal?

2
  • Usa password_hash($pass, PASSWORD_DEFAULT); para cifrarla.
    – AntoTGa
    Commented el 12 nov. 2016 a las 23:04
  • password_verify — Comprueba que la contraseña coincida con un hash, en $contrasena = password_hash(), le estas volviendo a meter un hash, por ese motivo te devuelve siempre falso. Te e modificado mi ejemplo a tu primero respuesta, donde te e incluido otro ejemplo a tu segunda prejunta, si te a sido alguna prejunta util en la primera, seria de ayuda marcarla como valida.
    – D.Bulten
    Commented el 13 nov. 2016 a las 1:08

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.