contraseñas en web

[Pinty]

Hola a todos. Estoy realizando una pagina web, en la que en una zona de la misma se requiere la identificacion para realizar algunas funciones. en una base de datos guardo el nombre de usuario y la contraseña sin encriptar, de modo que si algun dia a un usuario se le olvida su contraseña, esta se pueda mandar a su correo de manera automatica (tipico boton de olvide mi contraseña en muchas paginas web).
Pues resulta que he oido que es ilegal, es decir que tengo q tener encriptada la contraseña, y que esta no puede ser enviada por correo ya que violaria la ley de proteccion de datos.
Cuando he oido esto no me lo creia, asi que les consulto a ustedes.
Es verdad lo que he oido?, hay algo que deba saber a la hora de guardar datos personales, nombre, dni, etc en una base de datos??

Muchas gracias por vuestra atencion y dedicacion

Un saludo:

Pinty

[juanolo]

Esto tambien me interesa a mi.

Nunca lo habia oido aunque tiene su logica, si guardas la clave como texto plano, el administrador la puede ver... y si el usuario utiliza una misma clave para todo (correo, otras webs, etc.)... el administrador podria hacer acciones abusivas sobre ese usuario, como robarle la cuenta de su email, etc. aunque se presupone la buena intencion del administrador.

Supongo que se tendra que encriptar la clave con MD5 o algo asi, pero no tengo ni la mas remota idea de como se hace.

[HookerSP]

Yo no creo que sea ilegal, lo que si creo es que desde el punto de vista de la seguridad es una locura. Nadie en su sano juicio guarda las contraseñas en texto claro y nadie las envía por correo asi sin más. En una red local es facilísimo visualizar correos con uno de los muchos sniffers que hay gratuitos.

Si un usuario olvida una clave, se le manda a la dirección de correo con la que se registró, una contraseña aleatoria con un tiempo de vida limitado. Con esa contraseña entra y vuelve a poner la que quiera en las pantallas que tenga a tal efecto.

Hay paquetes gratuitos para usar en ASP, C++ etc que te cifran cadenas de caracteres con AES, MD5 etc.

Saludos
Hooker

[Pinty]

Hola HookerSP, muchas gracias por tu respuesta, si es una buena idea y mejora mucho la seguridad, ya que lo de guardar contraseñas sin encriptar no es muy seguro.

juanolo, con respecto a tu pregunta de como se maneja el md5, tengo el codigo, ya que he trabajado con md5 anteriormente, Lo busco y te lo propongo aqui para que le heches un ojo.

Como mucho tardar lo pondre mañana, si puedo hoy pues mejor

Un saludo
Pinty

[Pinty]

Hola juanolo, como he escrito antes voy a explicarte un poco el codigo para que puedas usar md5 para encriptar datos
Primero pongo el código y luego te explicare cosas importantes
Bueno antes de nada decir que está programado en vb.net, espero que te sirva de ayuda

Lo primero que hay que hacer es importar las librerias necesarias, en nuestro caso

Código:

Imports System.Security.Cryptography

Luego pasamoa a lo que es la programacion de la funcion md5

Código:

 
Public Function getMd5Hash(ByVal input As String) As String
        Dim i As Integer
        Dim md5Hasher As Security.Cryptography.MD5 = Security.Cryptography.MD5.Create()

        Dim data As Byte() = md5Hasher.ComputeHash(Encoding.Default.GetBytes(input))

        Dim sBuilder As New StringBuilder()

        For i = 0 To data.Length - 1
            sBuilder.Append(data(i).ToString("x2"))
        Next i
        Return sBuilder.ToString()

    End Function

Bueno aqui no hay mucho que explicar. Esta es la funcion, aqui es donde se hace la trasformacion de texto normal a md5

Por ultimo utilizamos esta funcion alla donde la necesitemos. Por ejemplo

Código:

 
Protected Sub Button1_Click(ByVal sender As Object, ByVal e As System.EventArgs) Handles Button1.Click
        Dim cadena As String
        cadena = getMd5Hash(TextBox1.Text)
End Sub

Este es un ejemplo muy simple, lo unico que hace es coger elvalor que hay en un textbox, y guardarlo en una variable llamada cadena.

Bueno esto es todo, pero ya sabes que para cualquier duda no dudes en preguntar

Un saludo y mucha suerte en tu proyecto

Pinty