Pregunta sobre encriptacion

[juanolo]

He estado mirando mcrypt pero entre que ninguno de los codigos que e probado me a funcionado, ya que siempre mostraba caracteres extraños... y que segun e leido, no todos los servidores web tienen esta funcion activada en php... pues me a echado para atras.

Pero claro, viendo md5 y sha1 que realmente no encripta, son irreversibles y que son "faciles" de descifrar pues... ya no se que hacer.

¿Que me recomendais?
Es que mcrypt no e visto ningun codigo que me funcione correctametne, si alguien tiene algun ejemplo por ahi se lo agradeceria mucho.

Por otra parte... que opinais de una combinacion entre md5 y sha1 como por ejemplo...
$key = md5("Mi frase secreta que solo yo se");
$contrasena = md5("mipass");
$pwfinal = sha1(md5($contrasena . $key));

[asor2303]

hola, mira yo uso esta funcion para encriptar

RIJNDAEL_encrypt($numero, $key);

puedes buscar algunas referencias de ella, a lo mejor te sirva mejor

[juanolo]

Iniciado por asor2303

hola, mira yo uso esta funcion para encriptar

RIJNDAEL_encrypt($numero, $key);

puedes buscar algunas referencias de ella, a lo mejor te sirva mejor

Pero eso es otro algoritmo de encriptacion que tambien se tiene que usar con $td = mcrypt_module_open('rijndael-128', '', 'ecb', ''); no?

Ahora e encontrado una funcion php que encripta y desencripta con bastantes algoritmos diferentes a nuestra eleccion.
Modificandolo e conseguido que me funcione correctamente pero pero da estos resultados...


Encriptado: ‹Õ"'»[dY³´(™¯Ç’ÀòjúÈÚ×÷fãùî|ùŸ
Desencriptado: Esta es la frase oculta ole�����

¿Por que al desencriptar aparecen esas interrogaciones? ¿Porque la salida desencriptada tambien tiene que ser de 32 caracteres y lo rellena asi? ¿y para borrar esos caracteres y tomar la clave en limpio?

[juanolo]

...y el resultado tampoco me lo inserta en la base de datos, la clave cifrada que genera es la siguiente �;��S�7

La consulta que genero es esta...
INSERT INTO usuarios ( nick, clave) VALUES ( "pepin", "�;��S�7")

Pero desde la pagina web me inserta el registro pero el campo clave lo deja en blanco.
En cambio si pongo esa consulta en phpmyadmin, la pego y la ejecuto, si inserta perfectametne la consulta.

¿Por que puede ser?

PD: el campo "clave" es un varchar (32)

[urgido]

Intenta asi

$variable_encriptada=AQUI EL COMANDO PARA ENCRIPTAR QUE USAS;

INSERT INTO usuarios ( nick, clave) VALUES ('pepin', '$variable_encriptada') or die(mysql_error());


e intenta poner el tipo de campo en TEXT y no en varchar

Saludos

[juanolo]

Iniciado por urgido

Intenta asi

$variable_encriptada=AQUI EL COMANDO PARA ENCRIPTAR QUE USAS;

INSERT INTO usuarios ( nick, clave) VALUES ('pepin', '$variable_encriptada') or die(mysql_error());


e intenta poner el tipo de campo en TEXT y no en varchar

Saludos

He cambiado el campo a TEXT y sin limite de caracteres.

Uso estos parametros...
$texto = "Esta es la frase oculta";
$key = "millavedeencriptacion";
$alg = "3des"; //tipo de algoritmo
$crypt = 1; //1 encripta y 0 desencripta


Para la llamada de esta funcion...
$clave_encriptada = cryptare($texto, $key, $alg, $crypt);

y la funcion a la que llama es esta...

Código php:

<?php
function cryptare($texto, $key, $alg, $crypt)
{
    $encrypted_data="";
    switch($alg)
    {
        case "3des":
            $td = mcrypt_module_open('tripledes', '', 'ecb', '');
            break;
        case "cast-128":
            $td = mcrypt_module_open('cast-128', '', 'ecb', '');
            break;  
        case "gost":
            $td = mcrypt_module_open('gost', '', 'ecb', '');
            break;  
        case "rijndael-128":
            $td = mcrypt_module_open('rijndael-128', '', 'ecb', '');
            break;      
        case "twofish":
            $td = mcrypt_module_open('twofish', '', 'ecb', '');
            break;  
        case "arcfour":
            $td = mcrypt_module_open('arcfour', '', 'ecb', '');
            break;
        case "cast-256":
            $td = mcrypt_module_open('cast-256', '', 'ecb', '');
            break;  
        case "loki97":
            $td = mcrypt_module_open('loki97', '', 'ecb', '');
            break;      
        case "rijndael-192":
            $td = mcrypt_module_open('rijndael-192', '', 'ecb', '');
            break;
        case "saferplus":
            $td = mcrypt_module_open('saferplus', '', 'ecb', '');
            break;
        case "wake":
            $td = mcrypt_module_open('wake', '', 'ecb', '');
            break;
        case "blowfish-compat":
            $td = mcrypt_module_open('blowfish-compat', '', 'ecb', '');
            break;
        case "des":
            $td = mcrypt_module_open('des', '', 'ecb', '');
            break;
        case "rijndael-256":
            $td = mcrypt_module_open('rijndael-256', '', 'ecb', '');
            break;
        case "xtea":
            $td = mcrypt_module_open('xtea', '', 'ecb', '');
            break;
        case "enigma":
            $td = mcrypt_module_open('enigma', '', 'ecb', '');
            break;
        case "rc2":
            $td = mcrypt_module_open('rc2', '', 'ecb', '');
            break;  
        default:
            $td = mcrypt_module_open('blowfish', '', 'ecb', '');
            break;                                          
    }
    
    $iv = mcrypt_create_iv(mcrypt_enc_get_iv_size($td), MCRYPT_RAND);
    $key = substr($key, 0, mcrypt_enc_get_key_size($td));
    mcrypt_generic_init($td, $key, $iv);
    
    if($crypt)
    {
        $encrypted_data = mcrypt_generic($td, $texto);
    }
    else 
    {
        $encrypted_data = mdecrypt_generic($td, $texto);
        echo($encrypted_data);
    }
    
    mcrypt_generic_deinit($td);
    mcrypt_module_close($td);
    
    return $encrypted_data;
}
?>
 

Cuando me retorna $encrypted_data hago la consulta...

Código mysql:

$consulta = 'INSERT INTO usuarios (
        nick, 
        clave)
        VALUES (
        "'.$_POST['registro_nick'].'",
        "'.$clave_encriptada.'"
        )';
        $resultado = mysql_query($consulta,$conexion);      
        $id_usuario= mysql_insert_id();
 

Pero nada, insertar me inserta el usuario, pero con el campo clave vacio.

[urgido]

agrega esta función a tu form, ejemplo:

enctype="multipart/form-data"

intentalo también con enctype="application/x-www-form-urlencoded" y dime si te funciona. Saludos

NOTA: recuerda que esto se agrega en tu tag <form>

ESTO ES SUPONIENDO QUE EL CAMPO LO PASES POR EL FORM, DE OTRA FORMA PUEDE SER QUE CONVIERTAS A HEX TU STRING Y LO PASES DIRECTO, QUIZÁS POR EL ENCODING NO LO PASA MYSQL.

sALUDOS

[juanolo]

Iniciado por urgido

agrega esta función a tu form, ejemplo:

enctype="multipart/form-data"

intentalo también con enctype="application/x-www-form-urlencoded" y dime si te funciona. Saludos

NOTA: recuerda que esto se agrega en tu tag <form>

Al final creo que lo estoy conseguido pero con mucho lio, a ver si esto es normal y necesario o algo me pasa, os explico...

Si encripto la clave con algun algoritmo de mcrypt me genera una clave cifrada como �;��S�7

Este tipo de clave con interrogaciones y caracteres raros NO PUEDO grabarlos en la base de datos, porque el registro lo inserta, pero el campo "clave" queda vacio, como si no hubiera introducido ninguna clave.

Entonces hago lo siguiente:
1º Encripto la clave con algun algoritmo.
2º La clave dada (�;��S�7) la codifico en base64...... base64_encode($clave_encriptada)....... y me genera esta nueva clave que si me deja insertar en la BD (+RM7pbVT7zc=)
3º Hago la consulta INSERT para insertar el registro a la BD.
4º Hago la consulta para recuperar la clave de usuario y me la da en el formato base64 (+RM7pbVT7zc=)
5º Decodifico esa clave para volverla a su estado original cifrado...... clave_original=base64_decode($clave);....... y me devuelve �;��S�7
6º Mando la clave_original a la funcion para que desencripte esa clave con el key y el algoritmo correspondiente y aparece la clave real (juan123� )

¿Es normal que tenga que encriptar, codificar en base64, grabar a la BD, decodificar en base64, desencriptar?
A parte, que me tocara quitar con algun comando esa � que me sale al final.
Es decir...¿por que a la hora de manejar la clave en mysql tiene que estar en base64 y no me deja usarla directamente?
¿Hay que hacer tanto lio?


PD: el formulario lo tenia en enctype="multipart/form-data"..... si lo cambio a enctype="application/x-www-form-urlencoded" crees que me evitare tener que codificar en base64???????????????

[urgido]

pues si, si e smucho lio es lo que te comento arriba es debido a los tipos de datos que se manejan binarios, hexadecimales, blablabla... entonces mysql muchas veces no permite la inserción de códigos de cierto tamaño, peso ó grado de codificación...

Referente a lo de form, pues seria bueno que lo probaras y nos cuentes que tal.

Saludos

[juanolo]

mmmh nada... si pongo el formulario como enctype="application/x-www-form-urlencoded" tampoco me lo inserta en la base de datos.

¿Habra algun comando MYSQL que permita grabar la clave cifrada �;��S�7 a la base de datos?

¿Sera seguro pasarlo a base64 y meterlo a la base de datos?
Si convierto una clave cifrada a base64... no habra mas posibilidades de que esta se repita?
Por ejemplo que la clave "pepe" y la clave "manolo" cifrados no coincidan, pero que al pasar sus claves cifradas a base64 si coincidan en esa transformacion? o eso es practicamente imposible?

[abimaelrc]

Bueno estoy un poco tarde contestando, pero te indico que md5 y sha1 no son faciles de descriptar. En primer lugar tu puedes crear tu propia forma de encriptar.

Voy por partes.

1. Contestando la parte de faciles de descriptar = Para poder hacerlo tiene que la persona hacer miles y miles (creo que hasta 100 millones) de posibles combinaciones para poder descriptar tu codigo (que sigo diciendo no creo que sea posible, por el siguiente punto)

2. Puedes invertar una forma de encriptar un password haciendo unos trucos. Me refiero a que puedes usar md5 invertir los caracteres, luego vuelves a encriptar si quieres con sha1 añades una letra vuelves a encriptar con md5 y vas a ver que la persona no va a poder encriptar lo que has hecho.

Vez porque no es facil descriptar md5 y sha1 solo tienes que usar astucia a la hora de ingresar la información.

[Kristt]

Doy fe a lo que dice abimael,

no es facil descriptar md5 y sha1 solo tienes que usar astucia a la hora de ingresar la información.

[juanolo]

Si consigo hacer lo siguiente, de momento dejare este tipo de encriptacion, me gusta la idea de poder encriptar/desencriptar.

Pero a la hora de recuperar las claves, deberia eliminar las ����� para mostrar la clave limpia al usuario. Pero claro, si el usuario, en su clave introduce caracteres especiales del tipo
ªº\|@#~€¬!"·$%&/()=?¿^*¨Ç[]{}¡'+`ç´-_.:,;<>
la siguiente funcion que tengo no me sirve ya que quitaria de la cadena todo aquello que no sean ni numeros, ni letras...

echo('Tu clave es: '.preg_replace("/[^A-z ÁÉÍÓÚÑáéíóúñ0-9]/i","",cryptare($texto, $key, $alg, $crypt)));

¿Como seria la expresion regular para que limpiara todos los caracteres extraños (�) y dejara solo numeros, letras y esos caracteres especiales?

[abimaelrc]

Puedes usar

Código php:

preg_match("/^[a-zA-Z0-9]+$/",$string,$m);
print_r($m);
 

Te sugiero leer más sobre expresiones regulares y así te puedas desenvolver

[juanolo]

Al final e terminado por hacer lo siguiente...

En el registro de usuario e validado con javascript una expresion regular para que solo introduzca numeros,letras y guiones - _ (quitando la ñÑ que tampoco me interesa que la introduzcan)
( utilizo JQuery validate, pero no se como añadir una regla con expresiones regulares a este plugin, asi que me e montado una funcion a parte con una expresion regular, un poco chapucero teniendo jquery validate pero bueno, asi es como se hubiera hecho sin tener este plugin asi que es lo que hay xD )

A la hora de sacar la clave hago esto...
echo('Tu clave es: '.preg_replace("/[^a-zA0-9-Z_-]/i","",cryptare($texto, $key, $alg, $crypt)));
Que sustituira cualquier otro caracter que no sean letras, numeros - _ por un valor vacio.

Asi ya podre ofrecer la clave limpia de caracteres raros y podre encriptarla y desencriptarla sin preocupacion sobre �interrogaciones� ni peligros de sustituir por "" un caracter valido, que era el mayor miedo que tenia.

[abimaelrc]

Ok si vas a permitir usar el guion en vez de usarlo asi, usa entonces \w

preg_replace("/[^\w\-]/i","",cryptare($texto, $key, $alg, $crypt))

[juanolo]

Iniciado por abimaelrc

Ok si vas a permitir usar el guion en vez de usarlo asi, usa entonces \w

preg_replace("/[^\w\-]/i","",cryptare($texto, $key, $alg, $crypt))

Pero de esa manera... no aceptaria tambien los espacios, la ñ y no se si la coma y el punto? no se si lei por ahi ke \w son todos los caracteres literales.

Un saludo.

[Fernand0]

base64_encode(); base64_decode();


Se ha dicho que md5 no es tan facil de decifrar y que haciendo combinaciones con sha1 y md5 se puede tener una buena seguridad... no me parece que sea tan asi ya que uno tiene 40 caracteres y el otro 32, es muy sencillo darse cuenta y pasar al siguiente decifrado, algun dia tarde o temprano vas a tener la clave

mcrypt es un poco(siendo generoso) lento, es mucho mas dificil de decifrar, pero no esta en todos los servidores y es un problema andar instalando la libreria y demas y ver los distintos tipos de algoritmos si estan o no estan... es un dilema decidir que tipo de seguridad va a implementar uno... por ahora uso mcrypt, pero no me dan ganas de andar instalando librerias por todos lados ni tener un codigo de 120 lineas extra para una encryptacion