0

Fala galera, estou desenvolvendo um teclado numérico igual ao dos bancos, em que o usuário seleciona uma combinação de números, mas tem que fazer a comparação com a senha armazenada dele, em bcrypt. A senha sempre é de 6 dígitos numéricos (fica mais fácil, né ;) )

O teclado:

<div class="password-keyboard">
<div class="row">
    <div class="col-md-4">
        <button class="btn btn-light btn-block" id="btnNumber_1" onclick="digitaCaracter('1')">1 ou 8</button>
        <input type="hidden" id="btnNumberVal_1" name="btnNumber[]" value="1,8" />
    </div>
    <div class="col-md-4">
        <button class="btn btn-light btn-block" id="btnNumber_2" onclick="digitaCaracter('2')">7 ou 2</button>
        <input type="hidden" id="btnNumberVal_2" name="btnNumber[]" value="7,2" />
    </div>
    <div class="col-md-4">
        <button class="btn btn-light btn-block" id="btnNumber_3" onclick="digitaCaracter('3')">5 ou 4</button>
        <input type="hidden" id="btnNumberVal_3" name="btnNumber[]" value="5,4" />
    </div>
    <div class="col-md-4">
        <button class="btn btn-light btn-block" id="btnNumber_4" onclick="digitaCaracter('4')">3 ou 6</button>
        <input type="hidden" id="btnNumberVal_4" name="btnNumber[]" value="3,6" />
    </div>
    <div class="col-md-4">
        <button class="btn btn-light btn-block" id="btnNumber_5" onclick="digitaCaracter('5')">9 ou 0</button>
        <input type="hidden" id="btnNumberVal_5" name="btnNumber[]" value="9,0" />
    </div>
    <div class="col-md-4">
        <a class="btn btn-light btn-block" onclick="removeCaracter()"><i class="fa fa-arrow-left"></i></a>
    </div>
</div>

A cada vez que abre o teclado, os dígitos mudam:

for (var array=[],i=0;i<=9;++i) array[i]=i;
// http://stackoverflow.com/questions/962802#962890
var tmp, current, top = array.length;
if(top) while(--top) {
    current = Math.floor(Math.random() * (top + 1));
    tmp = array[current];
    array[current] = array[top];
    array[top] = tmp;
}

var nmbArr = array;
for (var i = 0; i<=4; i++) {
    $('#btnNumber_'+(i+1)).html(nmbArr[i*2]+' ou '+nmbArr[(i*2)+1]);
    $('#btnNumberVal_'+(i+1)).val(nmbArr[i*2]+','+nmbArr[(i*2)+1]);
}

O teclado está funcionando que é uma beleza:

O Teclado virtual funcionando

O está sendo enviado está sendo capturado normal. O "problema" é como eu vou fazer para comparar as combinações com a senha do usuário que está em hashing bcrypt

As combinações geradas nos botões

A sequencia dos botões clicados

Alguém tem uma ideia de como eu vou validar essas combinações?? Será que vou ter que verificar 64 vezes (2^6)???

1
  • 2
    Esse é um casos clássico de "idéia furada". Esse teclado foi inventado para outro contexto completamente diferente. De nada adianta um hash decente se vai jogar fora com um mecanismo que permite várias outras senhas (que é o que acontece no fim). É um tiro no pé. Mesmo que as respostas digam como fazer o que quer, não resolvem o problema grave conceitual. A melhor resposta pra esse caso é: abandone essa idéia. Segurança não combina com liberdade "artística", por assim dizer. Claro que eu respeito cada um fazer como quer na esfera particular. Mas no site, vale o aprendizado correto.
    – Largato
    Commented 9/05/2023 às 21:26

3 Respostas 3

2

Se a senha final está em hashing crypt, SIM! Pois é impossível descriptografa-la para fazer uma análise de cada caractere. Então, você terá que encriptar todas as senhas possíveis e validá-las.

Mas você pode otimizar essa validação com SQL.

$senhasPossiveis = array(
    "sajEeYaHYyeSU";
    "saepDgtryRTsw";
    "saQ30SFLolsHo";
    "saIie8xFtO5cg";
    "saIie8xFtO5cg";
    "saepDgtryRTsw";
    "saepDgtryRTsw";
    "saIie8xFtO5cg";
    "saepDgtryRTsw";
    "saIie8xFtO5cg";
);

$sql = "SELECT senha, email FROM usuarios WHERE email = '$email' AND ( ";
foreach($senhasPossiveis as $senha){
    $sql .= "senha = '".$senha."' OR ";
}
$sql .= substr($sql, 0, -3).")";

No final sua query vai ficar tipo isso:

SELECT senha, email FROM usuarios WHERE email = '$email' AND ( 
senha = 'sajEeYaHYyeSU' OR
senha = 'saepDgtryRTsw' OR
senha = 'saIie8xFtO5cg' OR
senha = 'saepDgtryRTsw' OR
senha = 'sajEeYaHYyeSU' OR
senha = 'saIie8xFtO5cg' OR
senha = 'sajEeYaHYyeSU' OR
senha = 'saIie8xFtO5cg')

ALTERNATIVA

Essa solução também é boa

Você pode usar o password_verify

if (password_verify('12345', 'sajEeYaHYyeSU')) {
    echo 'Senha válida';
} else {
    echo 'Senha errada';
}

Então, você pode fazer o select no banco, resgatar a senha em hash e verificar pelo php as combinações sem criptografar senha por senha. Acredito que é melhor. Você precisaria fazer testes.

5
  • 1
    Cuidade com SQLInjection, todo esse trabalho para algém ir la e apagar o banco de dados
    – Costamilam
    Commented 10/04/2018 às 18:45
  • @GuilhermeCostamilam sim, eu apenas mostrei um exemplo do uso do SQL. Nem usei o PDO ou mysqli. Mas sua observação é válida. Commented 10/04/2018 às 18:56
  • Sim, Andrei Coelho, sendo assim a verificação vai ter que ser com o password_verify() com certeza. Mas estou empacado como fazer essa combinação de passwords, sendo que vem o array com as combinações e o valor que foi clicado Commented 10/04/2018 às 19:09
  • @JoséAriJunior Você precisa usar o javascript. Quer um exemplo? Commented 10/04/2018 às 19:11
  • Manda @Andrei Coelho... Commented 10/04/2018 às 19:13
1

Como você não respondeu @Andrei Coelho, eu consegui fazendo assim:

    $arrComb = [];
    foreach ($request->btnNumber as $nr => $val) {
        $arrComb[$nr] = explode(",", $val);
    }

    $senha = $request->senha;

    $max = (1 << strlen($senha));
    $arrAux = [];
    for ($i = 0; $i < $max; $i++) {
        $arrAux[] = str_pad(decbin($i), strlen($senha), '0', STR_PAD_LEFT);
    }

    $combs = [];
    foreach ($arrAux as $vals) {
        $nr = '';
        for ($posDig = 0; $posDig <= strlen($senha) - 1; $posDig++) {
            $idx = $senha[$posDig];
            $nr .= $arrComb[$idx][$vals[$posDig]];
        }
        $combs[] = $nr;
    }

    //verificando as combinações possíveis
    foreach ($combs as $value) {
        if (password_verify($value, $userPassword)) {
            return true;
        }
    }

    return false;

Se alguém tiver algum comentário ou melhoria, são bem vindos

2
  • Estava tentando até agora com recursividade. Mas não consegui. Esta bem difícil. Commented 10/04/2018 às 21:42
  • De qualquer forma, parabéns pelo código. Commented 10/04/2018 às 21:49
-3

Amigão, eu estava com o mesmo problema. Vendo aqui a tua resolução, eu consegui concluir da seguinte maneira.

//senha digitada 908090
$string = array(array(1,9),array(4,0),array(2,8),array(4,0),array(1,9),array(4,0));

//MONTANDO ARRAY AUXILIAR COM OS POSSÍVEIS ÍNDICES VARIÁVEIS DAS DUPLAS DE NÚMEROS
$max = (1 << 6);
$arrAux = [];
for ($i = 0; $i < $max; $i++) {
    $arrAux[] = str_pad(decbin($i), 6, '0', STR_PAD_LEFT);
}

$opcoesSenha = []; //ARRAY QUE ARMAZENARÁ TODAS AS POSSÍVEIS SENHAS
$stringSenha = ''; //STRING QUE SERÁ CONCATENADA
foreach($arrAux as $possibilidades)
{
    foreach($string as $indice =>$duplas)
    {
        $stringSenha .= $duplas[substr($possibilidades,$indice,1)];             
    }
    array_push($opcoesSenha,$stringSenha);
    $stringSenha = ''; //ZERANDO A STRING PARA ARMAZENAR A PRÓXIMA SENHA
}

return $opcoesSenha;

Exemplo do retorno:

imagem com o retorno

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .