3

Tengo que guardar en local un nombre de usuario y un password. Sé que no es recomendable y que puede ser peligroso pero hay otro dato da validación que llega desde el usuario.

Después el usuario y el password los uso para hacer una llamada a una API-REST para conseguir unos datos estadísticos,esta API-REST no conoce nada de encriptación; la llamada sería del tipo obntenerEstadistica(admin,12345);

¿Cómo puede encriptar un usuario y una contraseña guardados en local para que sea difícil acceder a ellos y mandarlos a la API-REST de la forma más segura posible?

4 respuestas 4

1

Te recomiendo que utilices SHA512, MD5 es un algoritmo menos seguro, ya que es posible que existan coincidencias entre distintos Strings.

A este método hay que pasarle dos Strings, el primero es el password, usuario o lo que quieras encriptar. El segundo es un string para hacer el método de encriptación más aleatorio.

import java.security.MessageDigest; 
import java.security.NoSuchAlgorithmException;


public String get_SHA_512_SecurePassword(String passwordToHash, String salt){ 

    String generatedPassword = null;

    try {
         MessageDigest md = MessageDigest.getInstance("SHA-512");
         md.update(salt.getBytes("UTF-8"));
         byte[] bytes = md.digest(passwordToHash.getBytes("UTF-8"));
         StringBuilder sb = new StringBuilder();
         for(int i=0; i< bytes.length ;i++){
            sb.append(Integer.toString((bytes[i] & 0xff) + 0x100, 16).substring(1));
         }
         generatedPassword = sb.toString();
        } 
       catch (NoSuchAlgorithmException e){
        e.printStackTrace();
       }
    return generatedPassword; 
}

Después como te han comentado en otras soluciones, solo tendrías que compararlo con lo escrito en ese fichero. Lógicamente, en el fichero los datos tienen que estar ya encriptados, sino cualquiera podría leerlos. Cuando recibes los datos introducidos por el usuario, los encriptas y comparas con lo que hay escrito en el fichero.

Fuente: hash a password with sha 512 in java

EDITADO

En caso de que tengas que cifrar y descifrar, utiliza la clase Cipher. Esta clase te permite el cifrado criptográfico para cifrado y descifrado.

Un ejemplo:

public static SecretKey generateKey() 
    throws NoSuchAlgorithmException, InvalidKeySpecException 
{ 
    return secret = new SecretKeySpec(password.getBytes(), "AES"); 
}

public static byte[] encryptMsg(String message, SecretKey secret)
    throws NoSuchAlgorithmException, NoSuchPaddingException, InvalidKeyException, InvalidParameterSpecException, IllegalBlockSizeException, BadPaddingException, UnsupportedEncodingException 
{ 
   /* Encrypt the message. */
   Cipher cipher = null; 
   cipher = Cipher.getInstance("AES/ECB/PKCS5Padding");
   cipher.init(Cipher.ENCRYPT_MODE, secret); 
   byte[] cipherText = cipher.doFinal(message.getBytes("UTF-8")); 
   return cipherText; 
}

public static String decryptMsg(byte[] cipherText, SecretKey secret) 
    throws NoSuchPaddingException, NoSuchAlgorithmException, InvalidParameterSpecException, InvalidAlgorithmParameterException, InvalidKeyException, BadPaddingException, IllegalBlockSizeException, UnsupportedEncodingException 
{
    /* Decrypt the message, given derived encContentValues and initialization vector. */
    Cipher cipher = null;
    cipher = Cipher.getInstance("AES/ECB/PKCS5Padding");
    cipher.init(Cipher.DECRYPT_MODE, secret); 
    String decryptString = new String(cipher.doFinal(cipherText), "UTF-8");
    return decryptString; 
}

Para encriptar:

SecretKey secret = generateKey();
encryptMsg(String toEncrypt, secret))

Para desencriptar:

decryptMsg(byte[] toDecrypt, secret))

Solo tienes que guardar los datos encriptados en un fichero y desencriptarlos antes de mandarlos. Aunque ten en cuenta que a partir de Android N esta clase estará obsoleta.

Fuentes: easy way to encrypt decrypt, security crypto provider deprecated

1
  • Gracias @Hamza , he editado la pregunta quizás no lo había dejado claro lo que quería hacer
    – JoCuTo
    el 15 jul. 2017 a las 8:05
1

Tienes que realizar una conversión de la_contraseña ha SHA512, MD5 u otro algoritmo criptografico (yo te recomiendo SHA512). Todos los lenguajes de programación (por lo menos los conocidos) tienen una función para realizar esto (o una librería que añade la función).

Una vez realizas la conversión (es decir, tu introduces abc.123 y la conversión te da CF2407464CD2B6F80E03B88C90DE7215F1D50AF706E6688F4A5213FEDF517B265E0D6783C4B89D3366557D2C7110872645BCAF5FE8911ED24BE2B70E84261740 anotas este dato en tu fichero, utilizando el formato que más gustes. Ejemplo:

admin:CF2407464CD2B6F80E03B88C90DE7215F1D50AF706E6688F4A5213FEDF517B265E0D6783C4B89D3366557D2C7110872645BCAF5FE8911ED24BE2B70E84261740
manolo:8BC21C6948CDD3BD727E147FA850021126FF93A5DAB701A9E386EEB3849BE8E4A7296497F3BB99EC7113695D5FA8EF69B89D393FBED633C2FC8DB94D8E9378FA
julio:0C0173A1804AED151A95FBC024395DC46D08D127B8D030A81B7D7EC277A04E3CD20126CA57EFF0804BEB705191E49AA7ABD316F6B57A54617D39CFA65FE052EA

En caso de que alguien obtenga tu fichero, solo vera el usuario:hash (hash = resultado de la conversión de una cadena a SHA512, SHA2, MD5...)

Con el hash no puedes hacer nada, puesto que 'no se puede' revertir el proceso, es decir, puedes convertir abc.123 en tu hash, pero el hash no se puede convertir en abc.123.

Tal vez tengas la duda de como se autentifican los usuarios, realmente lo que haces (es decir, cuando quieras comprobar si la contraseña es correcta), es recibir la contraseña por parte del usuario 'abc.123', convertirla en SHA512, MD5, etc... (lo que hayas elegido) y verificarlo con el archivo, si coinciden los hash, la contraseña es correcta.

Puedes realizar el mismo proceso con el nombre de usuario.

0

SI no quieres que se vea como "letras" el usuario y la contraseña si la guardas en un fichero o algo lo que podrías hacer es convertirlas a base 64.

De un usuario como: "usuario" quedaría algo como "dXN1YXJpbw=="

Para esto puedes usar:

public static string ToBase64(string cadena) 
{
    var textBytes= System.Text.Encoding.UTF8.GetBytes(cadena);
    return System.Convert.ToBase64String(textBytes);
}

public static string FromBase64(string cadenaCodificada) 
{
    var base64EncodedBytes = 
    System.Convert.FromBase64String(base64EncodedData);
    return System.Text.Encoding.UTF8.GetString(base64EncodedBytes);
}
2
  • Ok ,entiendo que el fichero tengo que escribir dXN1YXJpbw== ...pero como sé lo que tengo que escribir en el fichero. ejemplo: usuario : admin pass: pass1234
    – JoCuTo
    el 14 jul. 2017 a las 10:56
  • si no he entendido mal tu problema es que tienes que guardar un usuario y una contraseña en algún sitio y no quieres que se guarde tal y como es por seguridad. Entonces si la pasas a base64 tendrías el usuario y la contraseña pero de en base64 el cual no es legible a simple vista. Así que tendrías que guardar por ejemplo en un fichero usuario: dXN1YXJpbw== Contraseña:dXN1YXJpbw== y luego cuando quieras vovler a leer la contraseña deberás leer el fichero y pasar de base64 a texto normal el 14 jul. 2017 a las 12:41
0

Puedes guardar los datos en MD5 con la siguiente función:

public static final String md5(final String s) {
    final String MD5 = "MD5";
    try {
        // Create MD5 Hash
        MessageDigest digest = MessageDigest
                .getInstance(MD5);
        digest.update(s.getBytes());
        byte messageDigest[] = digest.digest();

        // Create Hex String
        StringBuilder hexString = new StringBuilder();
        for (byte aMessageDigest : messageDigest) {
            String h = Integer.toHexString(0xFF & aMessageDigest);
            while (h.length() < 2)
                h = "0" + h;
            hexString.append(h);
        }
        return hexString.toString();

    } catch (NoSuchAlgorithmException e) {
        e.printStackTrace();
    }
    return "";
}

A la hora de encriptar MD5 es de lo mejor que hay, aunque no puedes desencriptarlo, tienes que comparar los datos codificados y si coinciden los 2 esque es el mismo dato (hay muyyy pocas coincidencias).

4
  • ¿Pero lo tengo que guardar en un fichero? ¿como le paso el usuario y el pass? llamando a md5(ejemplodepassword) ? no lo entiendo
    – JoCuTo
    el 14 jul. 2017 a las 10:49
  • Por ejemplo los puedes guardar en un fichero y luego, tienes que hacer MD5(usuario_de_fichero) comparado con MD5(usuario_introducido) y comparar también MD5(pass_de_fichero) con MD5(pass_introducido). Si esas 2 comparaciones te dan bien entonces es correcto el 14 jul. 2017 a las 10:56
  • Gracias , ¿pero en el fichero que escribo? el usuario y pass real (me refiero a texto comprensible) o encriptado? y si es encriptado ¿como lo encripto la primera vez que lo guardo?
    – JoCuTo
    el 14 jul. 2017 a las 11:01
  • Tienes que guardarlo encriptado ya, sería lo mejor, así tendrías que comparar el usuario recuperado del fichero (ya está codificado) con MD5(usuario_introducido) el 14 jul. 2017 a las 11:24

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.