0

necesito implementar un Token en una WebApi con C# y SQL Server, toda la información que he encontrado utiliza un correo electrónico para registrar y autentificar a los usuarios. Pero lo que se requiere es un login simple, es decir, implementar un registro de usuarios del tipo "administrador / password" sin utilizar un correo electrónico.

Al crear el proyecto utilice la opción "Individual User Accounts", lo que me obliga a usar un email para crear y autentificar a los usuarios, pero no es lo que necesito.

Y al hacerlo de forma manual he visto que almacenan el token en la BD asociado al id del usuario, pero no sé si es una buena práctica.

¿Cuál es la forma correcta para hacer esto?

Desde ya muchas gracias,

Resuelto,

Tomé las recomendaciones y mantuve el campo de correo electrónico para el registro y login. También extendí la clase utilizada por el framework y añadí los campos que necesitaba.

Gracias!

2
  • Aunque desees evitar el correo por alguna razón particular, deberias considerarlo como una opción segura, barata y para recuperar el pass, porque sino te queda usar el telefono y enviarle una notificación push o algo parecido. El tema es que harias con ese token? el usuario se loguea y se lo envias para que siga haciendo las consultas? Para guardar el pass deberias hacer un hash para que no sea legible por una persona, cuando se hashea no se recupera ese pass. Solo puedes comparar que sea igual con la pass que le envias. Commented el 21 jul. 2020 a las 3:47
  • La forma más simple es recibir los datos de registro, hacer hash del password y almacenar en DB cuando es un registro nuevo. Luego puedes generar un token con vencimiento y devolverlo al cliente. Al momento de realizar login de un usuario registrado, simplemente recibes los datos, vuelves a calcular el hash del password y comparas con los datos almacenados, si todo coincide, generas un token y se lo devuelves al cliente. Pero igual no es recomendable hacerlo de esta forma porque podrían saturar tu sistema con peticiones y no tendrías control sobre si las cuentas registradas son legit. Commented el 21 jul. 2020 a las 18:58

1 respuesta 1

0

Los metodos para almacenar passwords en una base de datos En particular recomiendo la lectura de las mejores practicas de seguridad de OWASP https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html

La principal alternativa es el Hashing que permite basicamente encriptar los datos en un solo sentido (a diferencia de la Encriptacion que puede ser en dos sentidos, encriptar y desencriptar).

Se agregan algunas mejoras al Hashing para agregarle mas seguridad: Salting (agregarle "sal") y tambien Peppering (agregarle "pimienta") lo que basicamente significa incorporar algun dato secreto adicional al hash, cosa de que no sea facilmente reconocido por un detector de hashes conocidos o de fuerza bruta (https://www.md5online.org/md5-decrypt.html)

Depende del tipo de base de datos para saber que funciones de hash tienes disponibles, pero basicamente los datos se almacenan usando una funcion de hash:

UPDATE user set password=md5(CONCAT('mysecretsaltkey','password'))

El resultado almacenado, a pesar de que puede ser visualizado, sera dificil de ser reconocido.

Igualmente de manera muy basica, para la verificacion se requerirá el mismo tratamiento para el password del usuario:

SELECT * FROM user WHERE user='myusername' and password=md5(CONCAT('mysecretsaltkey','user_entered_password'))
1
  • No veo que responda a la pregunta del usuario, porque nunca pregunto sobre como usar hashing. Commented el 21 jul. 2020 a las 3:44

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.