encriptar contraseña

[RicardoUY]

hola tengo una pequeña duda sobre encriptacion de contraseñas.
guardo la contraseña encirptada asi en la base de datos
$contrasena = md5($contrasena);
y cuando el usuario entra la contraseña al logearse uso la misma funcion para encriptar lo ingresado y compararlo con lo que tengo en la base de datos.
Pero como pude ver en foros igual hay riesgos en el envio de la contraseña sin encriptar hasta el servidor, entonces voy a usar Javascript MD5, para dar mas seguridad.
Pero me surge una duda , si el usuario tiene javascript desactivado llegara la contraseña sin encriptar al servidor .
Como hago para saber si lo que recibo esta ya encriptado o es la contraseña original. Pues si paso dos veces la contraseña por la funcion el resultado no el correcto creo ??
Espero haber sido claro
Gracias por ayudarme

[portalmana]

Bueno lo que se me ocurre es en el formulario poner un campo oculto con un valor por ejemplo javascript y con valor 0.

luego al final de la pagina por ejemplo...

Código Javascript:

<script type="text/javascript">
    document.getElementById('javascript').value = 1;
   // o con el clasico
document.form.javascript.value =1;
</script>
 

y luego en el servidor ves que valor tiene el campo oculto javascript si tiene 0, no esta codificada, si tiene 1 si esta codificada...

Bueno se me ocurrió eso, no es el fuerte mio javascript y deben existir mejores soluciones...

Saludos

[malakian]

si el javascript llegara a estar desactivado no podria loguearse, pss suponiendo que en tu BD tambien estan encriptadas...
digamos la clave es pepe,encriptada es 1234..
ya en la BD esta encriptada y le mandas pepe
osea pepe nunca va a ser igual a 1234 entoncestu consulta sql no tendra efecto....

jejeje estas caras son muy vacanas!!

[portalmana]

La idea es sencilla, pones un campo oculto con un valor (ej.0), al final de la pagina le cambias el valor al campo oculto con javascript (ej.1).
Al enviar el formulario el valor oculto va a contener 0, si no se pudo ejecutar el javascript y va a tener 1 si se ejecuto.
Entonces preguntas en el servidor que valor tiene el campo y según el valor que trae realizas o no la encriptacion de la contraseña.

Saludos.

[RicardoUY]

Iniciado por malakian

si el javascript llegara a estar desactivado no podria loguearse, pss suponiendo que en tu BD tambien estan encriptadas...
digamos la clave es pepe,encriptada es 1234..
ya en la BD esta encriptada y le mandas pepe
osea pepe nunca va a ser igual a 1234 entoncestu consulta sql no tendra efecto....

jejeje estas caras son muy vacanas!!

No es asi , a partir de lo que ingresa el usuario yo en el sevidor la encripto
Simplemente pregunto a los que esten usando un sistema asi como saben si llega encriptada o no para no pasarla dos veces por la funcion
Gracias igual

[malakian]

pero si la envias sin encriptar alguien la puede detectar, seria inseguro...

y como es que preguntas que si llega encriptada o no??
si el usuario escribe la clave y no la encriptas antes de enviar pss va llegar sin encriptar...

[portalmana]

Un comentario aparte, lo mas seguro es hacerlo por https, pues si no igual aunque mandes la clave encriptada, si es capturada la misma lo van a poder lograr el acceso al sistema... Lo único es que no podrán saber cual es la clave original que puso el usuario pero el acceso como ese usuario si lo podrán lograr...

Saludos

[malakian]

claro https seria lo mejor...

pero no entiendo por que si se captura la clave ya encriptada, van acceder??? ....

ademas tengo entendido que el md5 esta diseñado para que no tenga reversa.. buenotalvez se pueda pero demoraria mucho

[portalmana]

Pues ejemplo:
usuario: pepe
clave: pepe, supongamos que la encripta con javascript y te queda ads2656sdedsa1
envía el formulario y es capturado por alguien con lo cual en la captura recoge un usuario pepe y una clave ads2656sdedsa1 , si el que capturo utiliza ese par de valores el sistema le va a dar el acceso pues como no vuelve a encriptar la contraseña en el servidor, va a encontrar un registro con valor pepe y clave ads2656sdedsa1, aunque el que capturo los datos quizás nunca se entere que la contraseña es pepe, pero si logro el propósito de entrar al sistema...


Saludos

[malakian]

bueno en ese caso tienes razon portalmana, por eso sigo insistiendo en lo de encriptar o no la contraseña tu dices que captura laclave encriptada, pero si ingresa laclave otra vez y sigue encriptando obviamente laclave que capturo antes ads2656sdedsa1 la va a volver a encriptar y quedaria peor ads2656sdedsa1ads2656sdedsa1 de eso es lo que hablo...

si el lo hace como tu dices,practicamente de nada serviria encriptar.. es bueno que allas aclarado esto yo me imaginaba que el sistema encriptaba siempre ...

[portalmana]

yo di una opción de lo que interprete que quería hacer.... lo mejor es el https... Pero encriptar con javascript igual no te salva pues se puede ver todo el código, y sabiendo como opera algo es mas fácil saltárselo...

Saludos

[malakian]

estamos de acuerdo que lo mejor es https...
pero digo, si no tienes para pagar un licencia, usar javascript, yo lo uso, encripto con SHA1 y lo recomiendo, saludos

[malakian]

Código HTML:

<script LANGUAGE="JavaScript">
<!--
function enviar(){
   document.forms[0].clave.value=SHA1(document.forms[0].clave.value);
}
 
// -->
</script>
<script type="text/javascript" src="webtoolkit.sha1.js"></script>
 
<form action="ningunapagina.php" method="POST" onSubmit="enviar();">
<input type="password" name="clave" class="input">
<input type="submit" value="Aceptar"/>
</form>
 

No lo veo inseguro, si es asi haganmelo saber, seria util

[portalmana]

Mira esta web
http://www.usebox.net/jjm/passw/

explica porque no sirve solo encriptar y enviar y da una solución

[RicardoUY]

Iniciado por portalmana

Mira esta web
http://www.usebox.net/jjm/passw/

explica porque no sirve solo encriptar y enviar y da una solución

Muchisimas gracias a todos