eu preciso comparar a senha que o usuário esta colocando em uma tela de login com a que está salva no banco de dados, descobri que quando o usuário é cadastrado é utilizado a hash sha256 para criptografar a senha, porém não estou conseguindo encontrar como criptografar uma variável string com a hash sha256, se tiverem um exemplo de como se faz ou uma dica para desenvolver isso.
4 Respostas
/!\ Tenho pouquíssimo conhecimento de Java!
O SHA256 não foi feito para proposito de senha, para senhas você deve utilizar PBDKF2 com SHA256. Entretanto prefira optar por BCrypt ou Argon2i, o PBDKF2 é "ok" mas por muitos não é considerado o melhor.
A diferença entre o BCrypt/PBDKF2/Argon2i é que permitem configurar a dificuldade, o SHA256 puro é muito rápido e por isso ruim para este proposito. Lembre-se que senhas "humanas" costumam ser curtas e limitadas, já o PBDKF2 faz iterações que permitem "demorar mais" aumentando o custo do brute-force.
A senha deve ser comparada em constant-time, isso é deve comparar toda a string e não apenas "morrer" quando um caractere é diferente, se isto for feito estará exposto a ataques de side-channel. Como alternativa utilize comparações bitwise (XOR) em toda a string, assim o tempo de processamento será o mesmo indepentende se a primeira bit for diferente ou apenas o último.
Dito isto no Java você pode utilizar esta implementação, que ate onde analisei supre as duas questões acima, faz comparações bitwise (via slowEquals()
) e por padrão possui razoável número de iterações, que pode ser mudado sem quebrar as hashes já geradas. O outro problema é saber se a conversão para base64
está segura contra ataques de cache e se a fonte de geração de números aleatórios (para o salt
) é segura, isto eu não posso analisar por não ter conhecimento em Java.
Tal implementação utiliza originalmente o PBDKF2 com SHA-1, porém o Java8 possui suporte para o PBKDF2WithHmacSHA256
, ou seja SHA256, segundo esta resposta.
Seguindo esta implementação de PBKDF2, você utiliza:
String hash = createHash("senha");
Então salve-o no banco de dados, por exemplo resultará em sha1:64000:18:5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG:mTb6Xd35sqw1B9gAcE87vwya
, uma vez que tem o salt de 5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG e 64000 iterações.
Posteriormente faça:
verifyPassword("senha", "sha1:64000:18:5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG:mTb6Xd35sqw1B9gAcE87vwya")
Para verificar se a senha salva do banco de dados é igual a senha digitada.
import java.security.*
String password = '201703281329'
MessageDigest digest = MessageDigest.getInstance("SHA-256")
digest.update(password.getBytes("ASCII")) //mudar para "UTF-8" se for preciso
byte[] passwordDigest = digest.digest()
String hexString = passwordDigest.collect { String.format('%02x', it) }.join()
-
Eu precisaria que fosse uma linguagem que eu pudesse utiliza-la em script groovy que é o que a plataforma onde estou desenvolvendo permite– R.SantosCommented 12/05/2017 às 20:41
-
-
-
Tu poderia apenas atualizar sua resposta com a explicação do que o seu código faz em cada linha?– R.SantosCommented 15/05/2017 às 11:33
Não sei se é isso que quer mas
package teste;
import java.io.UnsupportedEncodingException;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
public class TesteAlgoritmo {
public static void main(String args []) throws NoSuchAlgorithmException, UnsupportedEncodingException {
String senha = "admin";
MessageDigest algorithm = MessageDigest.getInstance("SHA-256");
byte messageDigest[] = algorithm.digest(senha.getBytes("UTF-8"));
System.out.println(messageDigest);
}
}
-
Esse código eu já encontrei exatamente igual aqui: devmedia.com.br/como-funciona-a-criptografia-hash-em-java/31139 Mas não deu certo– R.SantosCommented 12/05/2017 às 20:37
-
-
Eu não possuo um código, eu sei como fica a senha após passar pelo Hash, e sei como é a senha original, o que eu estou fazendo é atribuir a uma variável do tipo String o valor inicial da senha e o que preciso é de um código que aplique a essa string a Hash, para depois poder comparar se o que foi encontrado é igual ao que esta registrado no banco– R.SantosCommented 12/05/2017 às 20:47
Veja se é isso que você precisa...
public static String encriptPassword(String password) throws NoSuchAlgorithmException {
MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");
messageDigest.update(password.getBytes("UTF-8"));
return new BigInteger(1, messageDigest.digest()).toString(16);
}
-
Eu tentei esse seu código em groovy, e o mesmo não fez o que foi proposto– R.SantosCommented 12/05/2017 às 20:38
-
Pode dar mais detalhes do porque não fez o que você queria? ou o que você esta realmente tentando fazer... Commented 12/05/2017 às 20:45
-
Eu não possuo um código, eu sei como fica a senha após passar pelo Hash, e sei como é a senha original, o que eu estou fazendo é atribuir a uma variável do tipo String o valor inicial da senha e o que preciso é de um código que aplique a essa string a Hash, para depois poder comparar se o que foi encontrado é igual ao que esta registrado no banco– R.SantosCommented 12/05/2017 às 20:47
-
@R.Santos Ok, entendi, bom vc disse que a senha já esta criptografada no banco... Sem saber como foi feito esse encriptação vc não vai conseguir achar isso nunca,geralmente quando uma senha é criptografada é utilizado um
salt
é alguma coisa que pode deixar a sua chave unica, por exemplo, meu salt vai ser a Stringcarro
mesmo que alguem saiba que eu uso a criptografia sha256 ela não vai saber o meu salt e não vai achar a senha correta, basicamente o que vc esta tentando fazer quebrar o sha256 kkk, Sem o codigo de como o cara fez pra criptografar a senha que esta no busca nao vai dar certo Commented 12/05/2017 às 20:51 -
o estranho é que nesse site: hashtoolkit.com/generate-hash/?text=d-link123 está fazendo exatamente o que preciso, possuo a senha d-link123 pra teste e o que o site me exibe é o que esta no banco, provavelmente não tenha um salt então– R.SantosCommented 12/05/2017 às 20:55