Encriptar y desencriptar contraseña

[dquispe]

Hola a todos .. nuevamente hacendo una consulta, les cuento que estoy avanzando mi sistema y voy por buen camino cuando lo termine lo postiare, pues resulta que por temas d seguridad la contraseña del usuario debe dde encriptarse eso se hace con el md5 pero para desencriptar la contraseña como podria hacerlo que metodo hacer, por ahi escuche un comentario que cada letra o caracter reemplazarlo con un simbolo para crear mi propia function d encriptacion y con el chufle kambiar su posicion la verdad es que no se mucho sobre el tema haber si alguien me da una manito ahi.

Es un tema de importancia la encriptacion..
Gracias..

[abimaelrc]

Cuando encriptes con MD5 no hay forma de desencriptarlo.

[dquispe]

Esta bien pero como crearia una funcion ... una idea hermano por ahi escuche crear un array con cada caracter y asignarle otro caracter ejemplo la a=% algo asi.. y despues ponerlo en aleatorio y desincriptarlo.. alguna idea hermano... sobre ese tema.

[abimaelrc]

Ok, antes de ver como hacer lo que estas pidiendo. ¿Por qué quieres desencriptar la contraseña? Yo te sugiero que en vez de encriptar y desencriptar una contraseña, solo encriptes. Tu no necesitas saber cual es la contraseña. Además acuerdate que cuando uno se le olvide la contraseña en vez de enviarle, la contraseña que ingresó el usuario, le envias una creada por el sistema y luego la persona ingresa esa contraseña creada por el sistema y la cambia a una nueva. Nunca es bueno encriptar y desencriptar una contraseña. Eso a mi me daría una inseguridad en la página, ya que si alguien quisiera hackearla, encuentra el metodo que tu usas para desencriptar y empieza a buscar todas las cuentas para desencriptar las contraseña. Yo te sugiero de primera instancia a que encriptes y no uses nada para desencriptar.

[dquispe]

Tendria que encriptarse y desencriptarse ya que si me logeo ejemplos mi pass
es aguila1 se encripta 99899897689000 ya chevre
pero tendria que desencriptarse pero cuando salga dela sesion porque el usuario
no supiera poner el 99899897689000, creo que es mas por eso.. tendri que averiguarme mas sobre ese tema pero lo voy hacer creare una funcion haber como me va.. de todas maneras gracias abimael tu siempre ayudandome tio saludos desde Lima-Peru

[abimaelrc]

El usuario no requiere saber cual es la forma de desencriptacion. Tu lo que tienes que hacer es encriptarla con md5 y luego cuando el usuario trata de loguearse, lo hace normalmente con su contraseña y tu comparas volviendo a encriptar lo que haya escrito con lo que esta en la base de datos. Algo así

Código PHP:

if(md5($_POST["Contrasena"]) == $query["Contrasena"]){
//......
}
 

[dquispe]

Puede ser pero es bien seguro el metodo md5.!!!!!!!!!!!!!!!!!!!!!

[abimaelrc]

Lo que tienes que hacer es si quieres sentirte tu mismo seguro puedes hacer "trucos". Ejemplo puedes convertir a md5 la contraseña luego la inviertes las palabras con strrev y luego lo vuelves a convertir con md5. Hay mucha información sobre si es seguro o no usar md5, pero te adelanto que si lo es. De la única forma como pueden desencriptar un md5 es haciendo millones y millones de consulta a la base de datos con diferentes posibilidades para ver si pegan una. Por lo tanto si tu haces esos trucos jamas podran obtener la información.

[Webstudio]

EL método MD5 ya no es tan recomendado como antes. Te sugiero que intentes con métodos como SHA1 o PHPASS

http://www.openwall.com/phpass/

Lo que es importante, más que el mecanismo de hashing que utilices, es reforzar en tu aplicación el uso de contraseñas más difíciles de crackear ( porque los ataques por bruteforcing siguen existiendo). Es un dolor de huevos para el usuario, pero en definitiva es encontrar un balance entre seguridad y utilidad.

Saludos !

[dquispe]

Ok averiguare mas sobre el tema.

[santhy]

Iniciado por abimaelrc

Hay mucha información sobre si es seguro o no usar md5, pero te adelanto que si lo es.

Ha avanzado mucho esto de la criptografía, MD5 ya no se considera buena alternativa en cuanto a seguridad, sobre todo con la proliferación de Rainbow Tables.

sha1() hace el mismo trabajo pero con un algoritmo que por el momento parece más seguro.
Si tienes un límite en la cantidad de datos que puedes mandar a tu BBDD entonces siempre puedes hacer un

Código PHP:

  $pass = substr(sha1($_POST['pass']), 0, 32 /*o el numero que sea necesario*/ );  
   

Manual: substr(), sha1()

Información sobre por qué no es seguro MD5:
http://es.wikipedia.org/wiki/MD5#Seguridad
http://www.win.tue.nl/hashclash/SoftIntCodeSign/ (Via Geekus)

[abimaelrc]

Pero como te indique, para eso haces uso de "trucos". Si no quieres hacerlos puedes usar sha1. Pero haciendo uso de md5 y varios "trucos" no hay forma de que te desifren lo que hayas colocado. Porque vuelve a convertir lo que haz hecho. Ese metodo que indica el wiki es si has colocado directamente lo que quieres a md5 y sin hacer nada extra.

[dquispe]

Dale me toka investigar mas sobre este tema.. de criptografia.. se nota xvr.

[santhy]

No, lo que dice wikipedia (y más todavía http://www.win.tue.nl/hashclash/SoftIntCodeSign/) es que puedes hacer que dos contraseñas diferentes tengan el mismo md5!
Por lo que el usuario puede lograr introducir una contraseña (estilo asodifjaspef8aue9pf8asdjfopadfjgaper8tuape98fuadpg uaprtaposfadpg8usrpsoeurafu) que tenga un hash md5 IDÉNTICO a otra contraseña diferente! (la "original" del usuario).

Eso se llaman colisiones de hash, y seria algo como

Código PHP:

  if( md5($pass1) == md5($pass2) && $pass1 != $pass2) { echo "Colisión de hash detectada."; }  
   

y existe.

En SHA-1 se supone que también, pero todavía no se han encontrado, así que por lo de ahora es seguro.
Siempre se ha dicho que la seguridad era cuestión de tiempo ;)
(Y si no, mirad DES, que ahora ha sido reemplazado por AES o 3DES)

[dquispe]

MMM un tema muy interesante y muy amplio.