0

eu preciso comparar a senha que o usuário esta colocando em uma tela de login com a que está salva no banco de dados, descobri que quando o usuário é cadastrado é utilizado a hash sha256 para criptografar a senha, porém não estou conseguindo encontrar como criptografar uma variável string com a hash sha256, se tiverem um exemplo de como se faz ou uma dica para desenvolver isso.

4 Respostas 4

3

/!\ Tenho pouquíssimo conhecimento de Java!

O SHA256 não foi feito para proposito de senha, para senhas você deve utilizar PBDKF2 com SHA256. Entretanto prefira optar por BCrypt ou Argon2i, o PBDKF2 é "ok" mas por muitos não é considerado o melhor.

A diferença entre o BCrypt/PBDKF2/Argon2i é que permitem configurar a dificuldade, o SHA256 puro é muito rápido e por isso ruim para este proposito. Lembre-se que senhas "humanas" costumam ser curtas e limitadas, já o PBDKF2 faz iterações que permitem "demorar mais" aumentando o custo do brute-force.

A senha deve ser comparada em constant-time, isso é deve comparar toda a string e não apenas "morrer" quando um caractere é diferente, se isto for feito estará exposto a ataques de side-channel. Como alternativa utilize comparações bitwise (XOR) em toda a string, assim o tempo de processamento será o mesmo indepentende se a primeira bit for diferente ou apenas o último.


Dito isto no Java você pode utilizar esta implementação, que ate onde analisei supre as duas questões acima, faz comparações bitwise (via slowEquals()) e por padrão possui razoável número de iterações, que pode ser mudado sem quebrar as hashes já geradas. O outro problema é saber se a conversão para base64 está segura contra ataques de cache e se a fonte de geração de números aleatórios (para o salt) é segura, isto eu não posso analisar por não ter conhecimento em Java.

Tal implementação utiliza originalmente o PBDKF2 com SHA-1, porém o Java8 possui suporte para o PBKDF2WithHmacSHA256, ou seja SHA256, segundo esta resposta.

Seguindo esta implementação de PBKDF2, você utiliza:

String hash = createHash("senha");

Então salve-o no banco de dados, por exemplo resultará em sha1:64000:18:5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG:mTb6Xd35sqw1B9gAcE87vwya, uma vez que tem o salt de 5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG e 64000 iterações.

Posteriormente faça:

verifyPassword("senha", "sha1:64000:18:5Ybc8Ue3EBnLF5Q1eRZj5cUbnH9OGYYG:mTb6Xd35sqw1B9gAcE87vwya")

Para verificar se a senha salva do banco de dados é igual a senha digitada.

2
import java.security.*

String password = '201703281329'

MessageDigest digest = MessageDigest.getInstance("SHA-256")
digest.update(password.getBytes("ASCII")) //mudar para "UTF-8" se for preciso

byte[] passwordDigest = digest.digest()

String hexString = passwordDigest.collect { String.format('%02x', it) }.join()
4
  • Eu precisaria que fosse uma linguagem que eu pudesse utiliza-la em script groovy que é o que a plataforma onde estou desenvolvendo permite
    – R.Santos
    Commented 12/05/2017 às 20:41
  • Talvez seja útil: gik.firetrot.com/index.php/2013/04/17/… Commented 12/05/2017 às 20:56
  • Consegui com sua sugestão resolver meu problema. :)
    – R.Santos
    Commented 15/05/2017 às 11:19
  • Tu poderia apenas atualizar sua resposta com a explicação do que o seu código faz em cada linha?
    – R.Santos
    Commented 15/05/2017 às 11:33
0

Não sei se é isso que quer mas

  package teste;

  import java.io.UnsupportedEncodingException;
  import java.security.MessageDigest;
  import java.security.NoSuchAlgorithmException;

 public class TesteAlgoritmo {

       public static void main(String args []) throws NoSuchAlgorithmException, UnsupportedEncodingException {

                 String senha = "admin";

                 MessageDigest algorithm = MessageDigest.getInstance("SHA-256");
                 byte messageDigest[] = algorithm.digest(senha.getBytes("UTF-8"));

                 System.out.println(messageDigest);
       }

}

3
  • Esse código eu já encontrei exatamente igual aqui: devmedia.com.br/como-funciona-a-criptografia-hash-em-java/31139 Mas não deu certo
    – R.Santos
    Commented 12/05/2017 às 20:37
  • pode postar o seu código? fica mais facil Commented 12/05/2017 às 20:43
  • Eu não possuo um código, eu sei como fica a senha após passar pelo Hash, e sei como é a senha original, o que eu estou fazendo é atribuir a uma variável do tipo String o valor inicial da senha e o que preciso é de um código que aplique a essa string a Hash, para depois poder comparar se o que foi encontrado é igual ao que esta registrado no banco
    – R.Santos
    Commented 12/05/2017 às 20:47
0

Veja se é isso que você precisa...

public static String encriptPassword(String password) throws NoSuchAlgorithmException {
        MessageDigest messageDigest =  MessageDigest.getInstance("SHA-256");
        messageDigest.update(password.getBytes("UTF-8"));
        return new BigInteger(1, messageDigest.digest()).toString(16);
    }
6
  • Eu tentei esse seu código em groovy, e o mesmo não fez o que foi proposto
    – R.Santos
    Commented 12/05/2017 às 20:38
  • Pode dar mais detalhes do porque não fez o que você queria? ou o que você esta realmente tentando fazer...
    – Erick Maia
    Commented 12/05/2017 às 20:45
  • Eu não possuo um código, eu sei como fica a senha após passar pelo Hash, e sei como é a senha original, o que eu estou fazendo é atribuir a uma variável do tipo String o valor inicial da senha e o que preciso é de um código que aplique a essa string a Hash, para depois poder comparar se o que foi encontrado é igual ao que esta registrado no banco
    – R.Santos
    Commented 12/05/2017 às 20:47
  • @R.Santos Ok, entendi, bom vc disse que a senha já esta criptografada no banco... Sem saber como foi feito esse encriptação vc não vai conseguir achar isso nunca,geralmente quando uma senha é criptografada é utilizado um salt é alguma coisa que pode deixar a sua chave unica, por exemplo, meu salt vai ser a String carro mesmo que alguem saiba que eu uso a criptografia sha256 ela não vai saber o meu salt e não vai achar a senha correta, basicamente o que vc esta tentando fazer quebrar o sha256 kkk, Sem o codigo de como o cara fez pra criptografar a senha que esta no busca nao vai dar certo
    – Erick Maia
    Commented 12/05/2017 às 20:51
  • o estranho é que nesse site: hashtoolkit.com/generate-hash/?text=d-link123 está fazendo exatamente o que preciso, possuo a senha d-link123 pra teste e o que o site me exibe é o que esta no banco, provavelmente não tenha um salt então
    – R.Santos
    Commented 12/05/2017 às 20:55

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .