1

Buenas noches camaradas estoy desarrollando un proyecto de practica de mi universidad el cual ya lo tengo casi finalizado, hasta el momento me logeo de manera normal entro sin problemas, pero se me esta pidiendo el uso de encriptado de contraseña, en la base de datos tengo una tabla llamado users creado en Mysql y estoy trabajando con C#, vi una forma de encriptar una contraseña de tipo varbinary y también vi otra opcion de encriptado de un solo camino eso es creando un método en C#,mi pregunta es existe otra forma de realizarlo que al momento de registrar un usuario la contraseña se guarde ya encriptado y al momento de iniciar sesión me lea la contraseña encriptada que se guardo o se desencripte.

Esta es mi tabla de user:

create table users(Iduser int not null auto_increment primary key,

    nombre varchar (30) not null,

    apellidos varchar (70) not null,

    cargo varchar (15) not null,

    contraseña varchar(15) not null
 );

Método para guardar el registro de usuarios:

private void guardarRegistro()
    {
        
        string nombre = textUser.Text;
        string apellidos = textApellidos.Text;
        string cargo = textCargo.Text;
        string contraseña = textPass.Text;


        MySqlConnection conexionBD = Conexion.conexion();
        conexionBD.Open();

        try
        {
            MySqlCommand comando = new MySqlCommand("INSERT INTO users(nombre,apellidos,cargo,contraseña)" +
                "VALUES('" + nombre + "','" + apellidos + "','" + cargo + "','" + contraseña + "')", conexionBD);
            comando.ExecuteNonQuery();
            MessageBox.Show("El registro se ha guardado", "Mensaje", MessageBoxButtons.OK, MessageBoxIcon.Information);
            limpiar();
            refreshTabla();
        }
        catch (MySqlException ex)
        {

            MessageBox.Show("Error al guardar:  " + ex.Message);
        }

        finally
        {
            conexionBD.Close();
        }
    }

Este método lo tome de de una información que es un encriptado de un solo camino y no tiene regreso el cual hice una prueba si me funciono, pero no encontré la forma de cuando inicio sesión me regrese o lo devuelva desencriptado.

public static string GetSHA256(string str)
    {
        SHA256 sha256 = SHA256Managed.Create();
        ASCIIEncoding encoding = new ASCIIEncoding();
        byte[] stream = null;
        StringBuilder sb = new StringBuilder();
        stream = sha256.ComputeHash(encoding.GetBytes(str));
        for (int i = 0; i < stream.Length; i++)sb.AppendFormat("{0:x2}",stream[i]);
            return sb.ToString();

   }
3
  • Y si usas lo que ya hiciste y encriptas la contraseña cada vez que el usuario intente iniciar sesión y comparas el resultado con el valor cifrado que almacenaste?
    – Alfabravo
    Commented el 15 mar. 2021 a las 5:24
  • Ya lo había hecho registrando una contraseña típica como 12345 , el cual me lo encripto pero al querer entrar con el 12345 no me dejo, o como te refieres amigo Alfabravo.
    – Miguel
    Commented el 15 mar. 2021 a las 5:41
  • 1
    Cuando vos encriptas, guardas tu contraseña encriptada, luego cuando inicias sesion volves a encriptar tu contraseña que ingresan y la comparas con tu contraseña encriptada de la base de datos. No es necesario desencriptar la contraseña Commented el 15 mar. 2021 a las 11:50

1 respuesta 1

1

Te pongo un ejemplo:

El password quedara guardado encriptado en la BD

{
     "id": 1,
     "usuario": "Administrador",
     "password": "=jgirjhgr5hdf4shg5s4rsh4sd45hd45hdf" //Esto es solo un ejemplo, ni siquiera es un dato encriptado realmente
 }

Al momento de iniciar session tu recibiras dos valores, para el login usuario y password(contraseña)

{
     "usuario": "Administrador",
     "password": "Admin123"
 }

La parte interesante quedara aqui en el metodo o funcion que utilices para iniciar sesión:

public bool Login(string usuario, string password)
{
    bool puedeIniciarSesion = false;
    //Convertir el password en hash 
    string hashPassword = GetSHA256(password);
    
    //Buscar ese usuario y password en la BD - buscando por el hashPassword y no por el texto del password
    //Se que este ejemplo es solo para un proyecto escolar, asi que digamos esta "OK", pero si quieres evitar sql injection tendrias que utilizar stored procedure o algo asi.
    MySqlCommand comando = new MySqlCommand($"Select top 1 id,nombre,apellidos,cargo from users where username='{usuario}' and password='{hashPassword}'");
    //No estoy segura si esta instruccion sea la correcta, pero tienes la idea
    var result = comando.ExecuteQuery();
    //Validar si result tuvo almenos un resultado o un valor
    if(result is not null && result.count() > 0) //No se exactamente que regresara y como validar esto, es solo un ejemplo tendrias que adaptarlo a tu codigo
    //if(result is not null && result.length > 0)//Tal vez asi, no estoy segura
    {
        puedeIniciarSesion = true;
    }            
    
    return puedeIniciarSesion;
}

Es solo para que te des una idea, en realidad no es neceario encript y desencriptar, que si hay clases para hacer eso, pero es mejor asi, es mejor que nadie pueda entrar ala BD y de alguna u otra manera saber o poder ver las contraseñas de los usuario.

Lo que quiero decir es: Si los passwords pueden ser desencriptados el sistema es mas inseguro.

1
  • 1
    Muchas gracias amiga Cristina, aplicare esa opción que mencionas.
    – Miguel
    Commented el 15 mar. 2021 a las 15:41

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.