1

He hecho un formulario de registro, y quiero que la contraseña se almacene cifrada en mysql, mi duda es ¿Necesito un campo específico de la bd para almacenar la contraseña? Mi código para encriptar la pass es este:

<?php
    $usuario = $_POST['nombre'];
    $pass = $_POST['pass'];
    if (isset($usuario) && isset($pass)) {
        if (strlen($pass)>= 8) {
            //ciframos la contraseña
            $secreto = "Hecho por Rafael Aybar Segura";
            $passcif = hash_hmac('sha1',$pass,$secreto);
            //conectamos a la bd (las contraseñas son de prueba, hay que sustituirlas por otras más seguras)
            $conexion = mysqli_connect("localhost","root","") or
                        die("conexión errónea");
            mysqli_select_db ($conexion, "mantis")
                        or die ("no se puede seleccionar la BD" );
                    }
            //realizamos la consulta para registrar al usuario

        else {
            die("La contraseña ha de ser de 8 caracteres o más");
        }
    }
    else {
        die("Debes introducir todos los campos");
    }
?>
1
  • te está dando un error en este momento?
    – ffflabs
    Commented el 28 feb. 2017 a las 14:20

2 respuestas 2

3

Buenos días!

No, no necesitas un campo especial. Simplemente puede ser un campo de tipo varchar donde almacenarás el resulta de la función de hash.

Te hago un comentario meramente aclarativo: lo que estás haciendo mediante SHA1 es un hash de la contraseña, no una encriptación de la misma. Está perfecto lo que estás haciendo dado que una función de hash no es reversible. Es decir, no se puede inferir la clave que el usuario ingresó desde el resultado de la función de hash.

Espero haber sido de ayuda!

6
  • para que el usuario registrado pueda loguearse hay que desencriptar la pass no?
    – ras212
    Commented el 28 feb. 2017 a las 14:31
  • 2
    No, lo que tenés que hacer es hashear la clave que el usuario ingresa y compararla contra el hash guardado en la base de datos. Si son iguales entonces la clave es correcta y el usuario estará logueado. De esa forma vos nunca ves la clave que el usuario ingresó, sólo su hash. Esto le da privacidad al usuario. Por ejemplo, si el usuario utiliza la misma clave entre varios sistemas. Como administrador de sistema vos nunca vas a saber las claves de los usuarios. Esto es lo correcto.
    – Ignacio
    Commented el 28 feb. 2017 a las 14:40
  • Otra duda que me acaba de surgir, la contraseña pude almacenarse en un campo varchar de 15 caracteres?
    – ras212
    Commented el 4 mar. 2017 a las 12:12
  • No, deber ser de por lo menos 40 caracteres. Fijate la longitud del resultado de la función de hash SHA-1.
    – Ignacio
    Commented el 4 mar. 2017 a las 16:05
  • @Ignacio que tan seguro es ese HASH con sha1 para un sistema que estara en linea = Aunque ya lei y sale que no es ENCRIPTADO ni CIFRADO jejejej
    – Dev 200
    Commented el 16 mar. 2017 a las 12:59
0

Para complementar el resto de comentarios. Si usas una versión de PHP superior a la 5.5 deberías usar la función password_hash(http://php.net/manual/en/function.password-hash.php) en vez de la función hash_mac indicando el algoritmo a usar.

Además, el algoritmo SHA1 está desaconsejado. Se pueden obtener "fácilmente" las contraseñas cifradas con el.

Y en este caso deberías crear un campo de como mínimo 60 caracteres y a ser posible 255.

Si lo haces así tu código para la generación de claves quedaría así:

$passcif = password_hash($pass, \PASSWORD_DEFAULT);

Espero que te ayude

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.