encriptación contraseñas

NeB1 #1 Oct '10

Buenas a todos,

He hecho una pequeña aplicación web para un cliente, que tiene una parte pública para sus usuarios, y un backend para el administrador (él mismo). Las contraseñas de cada usuario están almacenadas en la BBDD encriptadas con sha1, pero ahora me dice que las quiere desencriptadas, porque quiere poder ver la contraseña de cada usuario (como las almaceno encriptadas, no puede ver la contraseña original, y si quiere recuperar alguna contraseña, en lugar de eso, tiene que cambiarla).

Sé que eso no es forma de actuar, pero ahora mismo no se me ocurre que clase de vulnerabilidad puede surgir de tener las contraseñas desencriptadas, y que la base de datos no es accesible desde internet, ni me he dejado ningún dump de la DB en ninguna carpeta pública ni nada por el estilo.

Lo cierto es que quiero decirle "No deberíamos hacerlo por que tal" pero no sé que decirle exactamente, no se me ocurre como se podría hackear la web.

Lo que si que creo es que eso vulnera la protección de datos o algo por el estilo, pero se la suda completamente.

Kr4n3oK #2 Oct '10

Y ni imcumple normas el tener las claves desencriptadas?

NeB1 #3 Oct '10

#2 es lo que he dicho en el último parrafo. Pero le dá igual porque es él el que crea las contraseñas y se las dá a sus clientes, entonces las conoce en todo momento. El tema es que alguna que otra se le ha olvidado apuntarsela y ha tenido que modificarla y después avisar al cliente de que la había modificado.

cabron #4 Oct '10 Judas

Por lo poco que sé, da igual que la base de datos sea suya, la ley de protección de datos sigue aplicando (esto es como los mail de empresa, que aunque las cuentas y los servidores sean de la empresa, es un delito que lean los correos de los trabajadores sin permiso).

Así que yo diría que sí, que va contra la LOPD que pueda ver las contraseñas, aunque sea su BBDD y las genere él, de hecho creo que es obligatorio que de a sus clientes la capacidad de cambiarlas por lo que queiran sin que obviamente él pueda saber cual es la nueva contraseña.

NeB1 #5 Oct '10

Eso es lo que me imagino, pero me va a decir que se la suda, y que no cree que nadie le vaya a denunciar, me molaría tener algún argumento en plan seguridad informática, serio, para poder disuadirle de que me haga hacer la faena ahora de cambiar el modo de autentificación y después poner todas las contraseñas a mano.

SaReDnAL #6 Oct '10

Porque no creas un exe ligero de escritorio para que se desencripten las contraseñas ellos si conocen el secret? xD

tOWERR #7 Oct '10

No podrias crearte una funcion de encriptacion y desencriptacion y listo. Podrias seguir algun tio de encriptacion/desencriptación que existen, hay varios por hay.

NeB1 #8 Oct '10

#7 hombre, también podría, aunque tendría que borrar todos los pass que hay actualmente porque están hechos con SHA1 ( es unidireccional ). Miraré a ver. Hay funciones ya hechas en PHP de encriptación usando una clave (que se puedan desencriptar)?

tOWERR #9 Oct '10

#8
Nose si existiran en PHP, por que en PHP la verdad todavia soy un poco noob, pero yo el año pasado en clase nos hicimos unas funciones de encriptacion para encriptar palabras y desencriptarlas despues, las hicimos en java.
Pero las puedes hacer en PHP igual, lo unico que deberias usar algun metodo de encriptacion que haya por hay, nosotros no me acuerdo cual utilizamos, pero estaba bastante bien.
Espero que si puedes hacer lo que te digo te sirva para solucionar el problema que tienes,suerte.

NeB1 #10 Oct '10

Si si, pero si pregunto si están hechas es por ahorrarme el hacerla, seguro que si existe, está mejor hecho de lo que yo lo haré.

Usuarios habituales