[SOLUCIONADO] Encriptacion

[Mechabits]

Hola! Estoy haciendo una tienda online que posteriormente subire a internet.
He hecho un grado superior de Desarrollo de Aplicaciones Multiplataforma, y en PHP nos enseñaron a usar sha1 para encriptar contraseñas en los registros de usuarios.

Entiendo que sha1 es un estandar y hasta donde me dijeron era relativamente seguro. Ahora bien, a mi lo de relativamente seguro no me termina de convencer y queria saber la opinion que hay por aqui. La tienda online es para una empresa muy pequeña y que no tiene de momento nada de publicidad pues se acaba de crear. Merece la pena que pierda tiempo en aprender otra forma de encriptar las contraseñas o por el contrario es lo suficientemente seguro (para esta empresa que es pequeña) el sha1 y deberia continuar con lo demas?

No es que ande perdido pero he visto algun tutorial de blowfish y aunque no es que tenga dificultad sé que voy a tardar un poco mas, y es tiempo que podria dedicar a mejorar otras cosas de la tienda online. Estaria bien escuchar algun consejo :)

Un saludo!

[Atomycko]

pues yo uso crypt, puedes encontrar info aqui:
http://mx1.php.net/manual/es/function.crypt.php

O tambien:
http://mx1.php.net/manual/es/function.password-hash.php

Si esto resolvio tus dudas, da el tema por solucionado por favor .
Saludos!

[Mechabits]

muchas gracias por tu ayuda!

Hace unos meses que no toco nada de PHP (he estado con java) y la verdad es que al leer que lo mas seguro es generar un salt aleatorio eso me ha confundido. ¿Como voy a saber el salt que tiene si es aleatorio a la hora de contrastar la contraseña que me mete el usuario con la que me viene en la base de datos?

Dejo un trozo de como lo estoy haciendo el registro, pero el problema es cuando inserto la contraseña; que no tengo ni idea como lo voy a hacer... si alguien pudiera echarme un cable se lo agradeceria.

Código PHP:

<?php
if(isset($_POST) && !empty($_POST)){
$mysqli = new mysqli("localhost", "root", "", "pepitoGrillo");
$mysqli->select_db("pepitoGrillo");
$pass = mysqli_real_escape_string($mysqli,$_POST['passw']);
 
$salt = mcrypt_create_iv(22, MCRYPT_DEV_URANDOM);
$salt = base64_encode($salt);
$salt = str_replace('+', '.', $salt);
$hash = crypt($pass, '$2y$10$'.$salt.'$');
 
$sql = "INSERT INTO administracion (password) VALUES ('".$hash."');";
 
$result = $mysqli->query($sql);
$result = $mysqli->query("select * from usuarios");
 
      while($fila = $result->fetch_assoc()){
         header("Location:./php/indexPrivado.php");
      }
}
?>
 

[Atomycko]

Bueno, pues no habia visto la funcion mcrypt_create_iv() no la conocia jeje.

Podrias crear el salt usando la primera y ultima letra del nombre de usuario, por ejemplo si es juancho usar "jo":

Código HTML:

<form action="" method="post">
Nombre: <input type="text" name="nombre" />
Contraseña: <input type="password" name="contrasena" />
<button type="button" onclick="this.form.action='registro.php';this.form.submit()">Registrarse</button>
<button type="button" onclick="this.form.action='acceso.php';this.form.submit()">Acceder</button>
</form> 

registro.php

Código PHP:

  <?php
$mysqli = new mysqli("localhost", "root", "", "pepitoGrillo");
// $mysqli->select_db("pepitoGrillo"); <- ???!
$nombre = trim($_POST['nombre']);
$salt = $nombre[0] . $nombre[strlen($nombre) - 1];
$contrasena = crypt($_POST['contrasena'], $salt);
if($mysqli->query("INSERT INTO usuarios (nombre,contrasena) VALUES ('$nombre','$contrasena')")){
    echo 'Registro OK etc., etc...';
    exit;
}
echo 'Error';
?>   

acceso.php:

Código PHP:

  <?php
$mysqli = new mysqli("localhost", "root", "", "pepitoGrillo");
// $mysqli->select_db("pepitoGrillo"); <- ???!
$nombre = trim($_POST['nombre']);
$salt = $nombre[0] . $nombre[strlen($nombre) - 1];
 
// esta manera no es recomendable pero...
$contrasenaCrypt = $mysqli->query("SELECT contrasena FROM usuarios WHERE nombre='$nombre' LIMIT 1")->fetch_assoc()['contrasena'];
// ...niños, no lo hagan en casa ;)
 
if($contrasenaCrypt && crypt($_POST['contrasena'], $salt) == $contrasenaCrypt){
    echo 'Login OK etc., etc...';
    exit;
}
echo 'Error';
?>   

Bueno espero te sirva de guia para hacer lo que requieres.

Saludos!

[Mechabits]

jo muchisimas gracias!!! Ahora lo entendi mejor.

[Mechabits]

Iniciado por Atomycko

Código PHP:

$salt = $nombre[0] . $nombre[strlen($nombre) - 1]; 
$contrasena = crypt($_POST['contrasena'], $salt);
 

Aunque no lo he hecho exactamente asi, para el que le sirva he hecho algo parecido y he puesto esto

Código PHP:

$cadena='a7sf6SFS%&();.*/';
$salt = $nombre[0]. $cadena . $nombre[strlen($nombre) - 1]; 
$contrasena = crypt($_POST['contrasena'], sha1($salt));
 

En mi opinion parece mas seguro :) y en la vuestra?

Un saludo

[phoneval]

Me parece que si buscas seguridad tendrias que usar encriptacion de un solo sentido.

[Mechabits]

Iniciado por phoneval

Me parece que si buscas seguridad tendrias que usar encriptacion de un solo sentido.

Igual es una pregunta estupida, pero es que soy bastante nuevo (que me acabo de sacar el titulo). Por que es mas seguro en un solo sentido?

Un saludo y gracias :)

[pathfinderbt]

yo lo uso de esta forma

Código PHP:

//Valores del formulario
    $username = mysql_real_escape_string($_POST['username']);
    $email = mysql_real_escape_string($_POST['email']);
    $password = mysql_real_escape_string($_POST['password']);
    
    //genera un unico y fuerte salt
    $salt_gen = uniqid(mt_rand());
    
    //Combina email, password y el salt juntos
    $combine = $email . $password . $salt_gen;
    
    //md5 hash mas la combinacion
    $newpassword = md5($combine);
    
    //inserta los valores en la base de datos
    $registerquery = mysql_query("INSERT INTO users (usr_name, usr_pass, usr_email,  usr_salt) VALUES ('".$username."', '".$newpassword."', '".$email."', '".$salt_gen."')") or die("MySQL Error: ".mysql_error());
 

[phoneval]

Iniciado por Mechabits

Igual es una pregunta estupida, pero es que soy bastante nuevo (que me acabo de sacar el titulo). Por que es mas seguro en un solo sentido?

Un saludo y gracias :)

Si solo tienes que comparar una cadena como por ejemplo una contraseña con que lo encriptes hacia un mismo sentido te sobra por ejemplo:

Código PHP:

  $cadenaencriptada = sha1(md5(cadena)); 
   

con un buen código de encriptacion si tu base de datos cae en manos ajenas no podrán sacar las cadenas y si tu quieres compararlas solo tienes que comparar las cadenas encriptadas y si son iguales le das acceso.

La única pega de esto es que ni tu la sabrás y si alguien la pierde solo podrá cambiarla pero no recuperarla.