395

Se eu fizer o hash de senhas antes de armazená-las em meu banco de dados é suficiente para evitar que elas sejam recuperadas por alguém?

Estou falando apenas da recuperação diretamente do banco de dados e não qualquer outro tipo de ataque, como força bruta na página de login da aplicação, keylogger no cliente e criptoanálise rubberhose. Qualquer forma de hash não vai impedir esses ataques.

Tenho preocupação em dificultar ou até impossibilitar a obtenção das senhas originais caso o banco de dados seja comprometido. Como dar maior garantia de segurança neste aspecto?

Quais preocupações adicionais evitariam o acesso às senhas? Existem formas melhores de fazer esse hash?

3
  • 3
    Se possível utilize o Argon2, ele foi o vencedor do PHC, possui mais opções de ajustes, se comparado ao PBKDF e ao BCrypt.
    – zixuan
    Commented 14/01/2018 às 18:03
  • Senhas em geral são curtas, o que facilita ataques de força bruta. A função hash tem como característica ter tamanho fixo. Isso torna possível gerar todas as possíveis senhas e encontrar colisões de hash. A prática comum é aumentar a senha (com algum padding) antes de calcular o hash, assim seu mapa de hash fica assimétrico, e terá mais possibilidades em caso de ataque força-bruta. Esse padding é armazenado em outro banco de dados (separado fisica e logicamente).
    – user178974
    Commented 18/07/2020 às 21:49
  • Uma única vez eu fiz uma coisa assim: O usuário insere a senha no sistema, o sistema calcula o hash, após isso aplica uma criptografia baseada na cifra de Feistel com muitas rodadas (o suficiente para demorar 2~3 segundos) e armazena no banco de dados o hash criptografado. Um ataque força-bruta reversa demoraria os 2~3 segundos por tentativa, isso se o "atacante" souber sua cifra. O problema é que a validação de senha demora esses 2~3 segundos, mas o que são 2~3 segundos em troca de mais segurança.
    – user178974
    Commented 18/07/2020 às 21:49

10 Respostas 10

417
+100

Teoria

Hash de senhas é sempre uma defesa secundária. Um servidor que faça autenticação precisa de alguma informação para poder validar uma senha. Um sistema simples armazena as próprias senhas literalmente, e a validação neste caso é mera comparação de strings. Neste caso, se alguém der uma mera espiada no arquivo da base de dados, já verá informação demais. Este tipo de brecha acontece na prática. Um backup em lugar errado, um HD trocado e não apagado corretamente, uma injeção SQL, e assim vai. Veja uma discussão detalhada neste blog.

Mesmo assim, como o conteúdo de um servidor que valide senhas necessariamente inclui os dados para esta validação, alguém que tenha mera cópia destes pode fazer um ataque de dicionário offline, tentando senhas em potencial até que alguma coincida, e este tipo de ataque é inevitável. Em sendo assim o que podemos é tentar deixar este ataque o mais difícil possível, e para isto, temos estas ferramentas:

  • Funções criptográficas de hash: são funções matemáticas que ao mesmo tempo que são eficientes, ninguém sabe como reverter. O servidor pode manter um hash de uma senha; quando for fazer a comparação, basta usar o mesmo hash no segundo valor e ver se coincidem; de qualquer forma, olhando o hash não dá pra saber qual é a senha original.

  • Salts: uma das vantagens do atacante é o paralelismo. O atacante pega um monte de senhas protegidas com hash e quer descobrir o máximo que puder delas. Ele pode simplesmente fazer um hash de uma senha em potencial e comparar esse mesmo hash com centenas de registros diferentes. Pode também usar tabelas de hashes pré-calculadas, incluindo as rainbow tables;

    A característica de ataques com paralelismo é atuar sobre várias senhas com a mesmíssima função de hash. Usar o salt não se trata de ter uma função de hash, mas uma porção delas. Idealmente cada senha deveria usar sua própria função de hash. Um salt é um modo de selecionar uma solução específica de hash entre uma grande família de funções. Se propriamente usado, pode acabar totalmente com o paralelismo.

  • Lentidão: computadores são cada vez mais rápidos, como teorizou Gordon Moore, co-fundador da Intel. Cérebros humanos não. A cada ano os atacantes podem testar mais e mais senhas no mesmo tempo, enquanto usuários não lembram senhas mais complexas (ou se recusam a lembrar). Para isso, podemos fazer com que hashes fiquem extremamente lentas usando funções que demandem muitas iterações.

Nós temos algumas funções criptográficas bem comuns, como MD5 e a família SHA. Construir uma função de hash usando operações elementares não é uma tarefa fácil. Quando criptógrafos querem fazer isso, pensam profundamente, e organizam torneios onde as funções "brigam entre si violentamente". Depois de centenas deles virando, mexendo, cutucando uma função por vários anos e não acham nada ruim pra falar dela, eles começam a admitir que, talvez, aquela função possa ser considerada mais ou menos segura. Foi o que aconteceu na competição SHA-3. Nós temos que usar este meio de construir estas funções por não conhecermos jeito melhor. Matematicamente não sabemos se funções seguras de hash realmente existem, o que temos são candidatas (esta é a diferença entre "não pode ser quebrada" e "ninguém sabe como quebrar").

Uma função básica de hash, mesmo segura como função de hash não é apropriada para senhas, pelo seguinte:

  • não usa salt, permitindo ataques paralelos (rainbow tables pra MD5 e SHA-1 podem ser obtidas gratuitamente, você não precisa nem ter o trabalho de calcular);
  • são muito rápidas e ficam mais e mais com o tempo. Com uma GPU razoável de mercado, a taxa de hashing é de bilhões de senhas por segundo.

Então, precisamos de coisa melhor. E mais, juntar adequadamente uma função de hash, salt e ficar iterando, não é mais simples do que projetar uma função de hash -- ao menos se você quiser um resultado seguro. Novamente você depende de construções padrão que sobreviveram ao massacre contínuo de criptógrafos vingativos.

Funções de hash boas para senhas

PBKDF2

O PBKDF2 vem da PKCS#5. É parametrizado com contador de iterações que iniciando por 1 e não tem limite superior, um salt arbitrário sem restrição de tamanho, e o tamanho requerido de saída. (O PBKDF2 gera uma saída de tamanho configurável), e um PRF. Na prática o PBKDF2 é sempre usado com HMAC, que é construído por sua vez sobre uma função de hash também. Quando dizemos "PBKDF2 com SHA-1", na verdade significa "PBKDF2 com HMAC com SHA-1".

Vantagens:

  • Já foi definido há bastante tempo, e ainda está "ileso".
  • Já está presente em vários frameworks (como .NET, por exemplo).
  • Altamente configurável (apesar de algumas implementações não permitirem a escolha do hash, como o .NET que usa apenas SHA-1).
  • Aprovado pelo NIST (observar a diferença entre hashing e derivação de chave; leia a seguir).
  • Tamanho de saída configurável (leia a seguir).

Desvantagens:

  • É intensivo somente pra CPU, e bem mais acessível para a GPU (o servidor é um pc normal usualmente, para tarefas usuais, enquanto o atacante pode investir mais em hardware especializado e ter vantagem com isso).
  • Você tem que ajustar os parâmetros por sua conta (gerar e gerenciar o salt, número de iterações etc). Há um encoding padrão para os parâmetros do PBKDF2 mas ele usa ASN.1, então as pessoas evitam sempre que podem (ASN.1 é complicado para não-experts).

bcrypt

O bcrypt foi desenvolvido reusando e expandindo elementos de um block cipher chamado Blowfish. A contagem de iterações é uma potência de dois, que é bem menos configurável que a da PBKDF2, mas suficiente pro uso normal. Esse é o núcleo do mecanismo de hash de senhas do OpenBSD.

Vantagens:

  • Implementação disponível para várias linguagens (veja os links no rodapé da página da Wikipedia)
  • Mais "resistente" à GPU; isso graças a detalhes do seu design interno. Os autores do bcrypt fizeram desta forma voluntariamente. Reusaram o Blowfish por este ser baseado numa tabela RAM interna que é constantemente modificada durante o processamento. Isso complica muito a vida de quem quiser acelerar o bcrypt com GPUs, pois GPUs não são boas para acessar memória em paralelo.
  • A saída padrão inclui o salt e contagem de iterações, simplificando em muito a armazenagem, que é de apenas uma string.

Desvantagens:

  • Tamanho fixo de saída: 192 bits.
  • Apesar de forçar as GPUs, pode ser otimizado com FPGA: Chips FPGA modernos têm blocos embutidos de RAM que são bem convenientes para rodar bcrypt em paralelo no mesmo chip. Já foi feito, inclusive.
  • A senha de entrada é limitada a 51 caracteres. Para senhas maiores, alguém teria que combinar o bcrypt com uma função de hash (calcula o hash da senha, e usa o resultado com bcrypt). Combinar primitivos criptográficos tem riscos, então isto não é recomendado para uso geral.

scrypt

O scrypt é bem mais novo (projetado em 2009), baseado no PBKDF2 e num stream cipher chamado Salsa20/8. De qualquer forma, estas são apenas ferramentas em torno do núcleo que concentra a força do scrypt, que é a RAM. O scrypt foi feito de forma a usar muita RAM (ele gera alguns bytes pseudo-aleatórios, e os lê repetidamente, numa sequência também pseudo-aleatória). "Muita RAM" é algo difícil de paralelizar. Um PC básico é bom no acesso à RAM, e normalmente não vai tentar ler simultaneamente da RAM dezenas de bytes sem relação aparente. Um atacante com GPU ou FPGA pode querer fazer isso, mas terá dificuldade.

Vantagens:

  • Um PC, ou seja, o que o defensor vai usar pra aplicar o hash normalmente, é uma das melhores (senão a melhor) plataforma para operar o scrypt. O atacante não tem mais vantagem investindo em GPU ou FPGA.
  • Uma opção a mais de ajuste: uso de memória.

Desvantagens:

  • É novo ainda (minha "regra pessoal" é de aguardar ao menos 5 anos de exposição -- mas, é claro, é bom que outras pessoas usem o scrypt em produção, para dar maior visibilidade).
  • Não tem tantas implementações à disposição para as diversas linguagens.
  • Não está claro qual o ideal de CPU e RAM a usar. Pra cada acesso pseudo-aleatório o scrypt precisa computar um hash, um cache miss gasta 200 ciclos, uma chamada de SHA-256 gasta 1000. Há espaço para melhorias nesse aspecto.
  • Uma opção a mais para ajustar: quanta memória usar.

Iterated And Salted S2K do OpenPGP

Estou mencionando este, pois você vai usar se for proteger arquivos com senha usando GnuPG. Essa ferramente segue o formato OpenPGP, que define suas próprias funções de hash, chamadas "Simple S2K", "Salted S2K" e "Iterated and Salted S2K". Apenas a terceira pode ser considerada "boa" no contexto desta resposta. É definida como uma hash de uma string longa (configurável até uns 65 megabytes) e consiste em repetição de um salt de 8 bytes e a senha.

Em linhas gerais, O "Iterated And Salted S2K" do OpenPGP é decente, similar a um PBKDF2 com menos opções. Você raramente vai encontrar essa implementação fora do OpenPGP.

"crypt" do Unix

Sistemas do tipo Unix atuais (como Linux), usam variantes iteradas e com salt da função crypt(), que é baseada em boas funções de hash, com milhares de iterações. Isso é razoavelmente bom. Alguns sistemas também podem usar bcrypt, que é melhor ainda.

A função crypt() "antiga", que era baseada no block cipher DES, não é boa:

  • É lenta em software, mas rápida em hardware, e ainda pode ser acelerada em software quando computando várias instâncias em paralelo (técnica conhecida como SWAR ou "bitslicing"), que é vantajoso para o atacante.
  • Ainda é muito rápida com 25 iterações.
  • Seu salt é de 12 bits, implicando em reúso frequente.
  • Trunca a senha a 8 caracteres e ainda trunca o bit alto, transformando em ASCII puro (7 bits).

As variantes novas, que são as que estão em uso atualmente, são OK.

Funções de hash ruins para senhas

Tudo o mais, em especial soluções caseiras que as pessoas insistem em criar, assumindo que "criptografia segura" é "jogar fora toda operação criptográfica ou não que pode ser pensada". Veja esta pergunta como exemplo. O princípio nela parece ser de que a complexidade com a bagunça das instruções vai confundir atacantes. Na prática, o desenvolvedor vai sempre estar mais perdido na sua própria criação do que o atacante.

Complexidade é ruim. Solução caseira é ruim. Novidade é ruim. Lembrando disso você vai evitar 99% dos problemas de hash de senhas, e segurança em geral.

Hash de senha no Windows costumava ser terrivelmente medonho, agora é só péssimo (MD4 sem salt e iterações).

Derivação de chave

Até agora nós consideramos a questão de hash das senhas. Um problema próximo é a transformação de uma senha numa chave simétrica que possa ser usada para criptografia. Isto é chamado de derivação de chave e é a primeira coisa que você faz quando encripta um arquivo com senha.

É possível fazer exemplos elaborados de funções de hash que são seguras para guardar um token de validação, mas que são péssimas para gerar chaves simétricas; o oposto é possível, da mesma maneira. Esses exemplos entretanto são artificiais. Para casos práticos como os descritos acima:

  • A saída de uma hash de senha é aceitável como chave simétrica, após ser truncada no tamanho requerido.
  • Uma função de derivação de chave pode servir como hash de senha, desde que a chave derivada seja longa o suficiente pra evitar "pré-imagens genéricas" (o atacante tem a sorte de achar uma senha que dê o mesmo resultado). Uma saída de 100 bits deve ser suficiente.

Para falar a verdade, PBKDF2 e scrypt são funções de derivação de chave, e não de hashing -- e o NIST aprova o PBKDF2 como função de derivação de chave, e não explicitamente como hasher. (mas com um pouquinho só de hipocrisia, dá pra ler o material do NIST de maneira a se entender que o PBKDF2 é bom para hash de senhas).

Ainda, o bcrypt é na verdade um block cipher (a parte de processamento de senha é o "key schedule") que é depois usado em modo CTR para produzir três blocos de 192 bits de saída pseudo-aleatória, fazendo-o uma espécie de função de hash. O bcrypt pode virar uma função de derivação de chave com uma leve operação, usando o block cypher em modo CTR para gerar mais blocos. Mas, como de costume, não recomentamos remendos caseiros. Felizmente 192 bits são mais que suficientes para a maioria dos propósitos (por exemplo, encriptação simétrica com GCM ou EAX só precisa de 128 bits na chave).

Considerações adicionais

Quantas iterações?

Quanto mais melhor! Essa corrida de lento-e-salted é uma disputa acirrada entre atacante e defensor. Você usa muitas iterações para deixar o hashing mais dificil para todos. Para aumentar a segurança, você deve deixar o número mais alto que seja tolerado no servidor, considerando as outras coisas que ele deve fazer. Quanto mais alto melhor.

Colisões e MD5

O MD5 está quebrado: é muito fácil conseguir vários pares de entradas diferentes com o mesmo valor de saída. Estas são as colisões. Entretanto, colisões não são um problema para hash de senhas. Hash de senhas tem que resistir às pré-imagens, não colisões. Colisões são pares que dão mesma saída sem restrições, enquanto no hash de senhas o atacante tem que achar uma mensagem que dê uma determinada saída, que ele não escolheu. Isso é bem diferente. Até onde sabemos, o MD5 é praticamente tão forte quanto sempre foi em relação a pré-imagens (há um ataque teórico que ainda está muito distante de ser viável na prática).

O verdadeiro problema com o MD5 é que seu uso é muito comum para senhas, ele é muito rápido e não tem salt. Mas o PBKDF2 usado com MD5 seria robusto. Você deve usar SHA-1 ou SHA-256, mas por questão de "relações públicas". As pessoas ficam nervosas quando ouvem "MD5".

Geração do salt

O objetivo fundamental do salt é ser o mais único possível. Sempre que um salt é reusado, potencialmente pode ajudar a um atacante. Por exemplo, se você usa o nome do usuário como salt, um atacante pode construir rainbow tables usando "admin" e/ou "root", pois a tabela serviria para muitos lugares que possuem usuários com esses "nomes".

Da mesma forma, quando um usuário muda a senha, o nome permanece, levando ao reúso do salt. Senhas velhas são sempre alvos de valor, pois usuários tendem a reaproveitá-las em muitos lugares. (é sempre divulgado que é péssima idéia, todo mundo sabe, mas continua fazendo porque torna a vida mais fácil), e além disso as pessoas tendem a gerar senhas sequenciais. Se a senha velha do Alaor é "SenhaSecreta37", bem capaz que a nova seja "SenhaSecreta38" ou "SenhaSecreta39".

O jeito "barato" de obter salts únicos é usar aleatoriedade. Se você gera seu salt com bytes aleatórios de um gerador seguro que seu OS ofereça, (/dev/urandom, CryptGenRandom()...) você terá valores de salt "únicos suficientemente", se forem de 16 bytes por exemplo, para nunca ver na vida uma colisão de salt.

O UUID é um jeito padrão de se obter valores "únicos". Lembrando que UUID "versão 4" usa aleatoriedade (122 bits), como mencionado acima. Vários frameworks oferecem funções simples para gerar UUID sob demanda, e eles podem ser usados como salt

O salt tem que ser secreto?

O salt não foi feito pra ser secreto, senão seria chamado de chave. Você não precisa divulgar o salt, mas se precisar (usando uma solução de hash no cliente, por exemplo), não se preocupe. O salt existe apenas para ser único. Não é nada mais do que a seleção de uma função de hash entre muitas.

Pepper

Criptógrafos não podem deixar uma metáfora quieta. Eles precisam estendê-las com mais analogias e trocadilhos (salt significa "sal", pepper significa "pimenta"). Se você usa uma pepper na sua função de hash, está usando uma espécie diferente de algoritmo criptográfico; você está calculando um código de autenticação de mensagem (MAC) sobre a senha. A chave do MAC é sua pepper.

"Apimentar" faz sentido se você tiver uma chave secreta que o atacante não é capaz de ler. Lembre-se de que nós usamos o hash por que consideramos que um atacante pode conseguir uma cópia da base de dados do servidor ou até o disco todo. Um caso comum é um servidor com dois discos em RAID 1. Um disco falha, por ter a placa queimada. Acontece a toda hora. O sysadmin troca o disco, o espelho é refeito, e nada é perdido graças à magica do RAID 1. Bom, mas o disco velho não funciona mais, e o sysadmin não tem mais uma maneira fácil de limpar seu conteúdo, então ele simplesmente descarta o disco. O atacante encontra o disco no lixo, troca a placa e, vejam só! Ele tem uma cópia completa do sistema, com base de dados, configuração, executáveis, OS...

Para a pepper funcionar num caso desses, você precisa de algo mais que um PC com discos; você precisa de um dispositivo de segurança por hardware (HSM). Os HSMs são caros, tanto em termos econômicos quanto operacionais, mas com um HSM, basta usar a pepper e processar as senhas com um simples HMAC (por exemplo com SHA-1 ou SHA-256). Isso vai ser muito mais eficiente que bcrypt/PBKDF2/scrypt e suas complexas iterações. Fora que usar um HSM fica com cara bem profissional numa WebTrust audit.

Hashing do lado do cliente

Como o hashing é propositalmente "caro", faria sentido numa arquitetura cliente-servidor usar a CPU do cliente. Afinal, quando 100 clientes conectam a um servidor só, coletivamente eles têm muito mais poder de processamento. Para isto, o server precisa mandar o salt para o cliente. Isso implica em mais uma ida e volta de dados, o que pode ou não ser fácil de adicionar em casos específicos. Num contexto web é mais complicado, pois o javascript sempre foi mais "anêmico" pra usar a CPU. Num contexto de senha segura remota (SRP), o hashing tem que acontecer de qualquer forma no lado do cliente.

Conclusão

Use bcrypt (há quem seja contra). PBKDF2 também não é ruim. Caso você use scrypt, vai estar "ligeiramente adiantado", com os riscos implícitos nessa expressão; mas é bom pro progresso da ciência. Ser um "crash dummy" é uma profissão honrada!

Esta é uma adaptação da excelente resposta dada por thomas pornin no site Information Security, que também faz parte da rede Stack Exchange.

16
  • 18
    Quanto a deixar o hash lento, recomento um sleep na thread de tempo aleatório, por causa de Timing attack Commented 7/02/2014 às 20:58
  • 14
    @MiguelAngelo A função do hash é preveninr ataques offline, o atacante que obteve uma cópia do seu BD não vai fazer também o sleep "por questão de honra", ele vai retirá-lo para poder testar senhas o mais rapidamente possível... Melhor manter o fator de trabalho o mais alto possível, senão você fica lento e seu adversário não. P.S. Concordo que timing attack é uma questão séria, mas não sei se se aplica ao hash de senhas. Essa pergunta no security.SE discute mais profundamente o assunto.
    – mgibsonbr
    Commented 14/03/2014 às 2:27
  • 5
    @mgibsonbr: realmente, o sleep deveria ser feito independentemente do hash ser calculado ou não. O ideal seria que todos os requests para uma página de login tivessem a mesma duração, independente das credenciais serem válidas, do hash e de quaisquer outros fatores. Commented 14/03/2014 às 13:51
  • 6
    Parabéns pela medalha de ouro "Ótima resposta" dos 100 votos a favor, a primeira do site. :) Commented 16/04/2015 às 20:40
  • 5
    @VictorStafusa grato, mas essa aí temos que considerar que o trabalho significativo mesmo foi do autor original ;)
    – Largato
    Commented 18/04/2015 às 4:36
101

Se eu fizer o hash de senhas antes de armazená-las em meu banco de dados, é suficiente para evitar que elas sejam recuperadas por alguém?

O objetivo da função de hashing é dificultar que um atacante que já obteve acesso (leitura) a seu banco de dados descubra as senhas originais. Pois para ganhar acesso online (i.e. logar como um usuário) não basta apresentar o hash como credencial: é necessário apresentar algo que - após hasheado - seja idêntico ao hash armazenado. Um bom algoritmo de hash deve portanto ser resistente a ataques de pré-imagem (i.e. dado um hash X, encontrar uma string Y tal que hash(Y) = X).

Outras características desejáveis de uma função de hash são a lentidão (aumenta o tempo gasto numa busca exaustiva; importante se - como é comum em senhas escolhidas pelo próprio usuário - a entropia das senhas é baixa) e a unicidade (ainda que dois usuários tenham a mesma senha, seus hashes sejam distintos - evita que um único ataque descubra senhas de vários usuários). Para bons algoritmos que atendam a esses requisitos, ver a resposta do @Bacco.

Estou falando apenas da recuperação diretamente do banco de dados, e não qualquer outro tipo de ataque, como força bruta na página de login da aplicação (...) Qualquer forma de hash não vai impedir esses ataques.

Na realidade, um hash bem feito tornará esse cenário específico pelo menos tão seguro quanto contra um ataque offline - pois coloca um limite inferior ao tempo necessário para se testar cada candidato a senha. Existem maneiras melhores de se proteger contra ataques online (limitar o número de tentativas de login em um determinado período de tempo, aumentar a espera e/ou bloquear o usuário após N tentativas fracassadas, etc), mas mesmo na ausência das mesmas o hash deve proteger contra ataques de força bruta.

Tenho preocupação em dificultar ou até impossibilitar a obtenção das senhas originais caso o BD seja comprometido.

Como já mencionado, o grande problema de se proteger uma senha é sua baixa entropia: existem algoritmos sofisticados para gerar bons "candidatos a senha", capazes de "adivinhar" a grande maioria das senhas tal como são escolhidas pelos usuários comuns, mas sem perder tempo explorando senhas improváveis (como pqzrwj). Quando combinados com dados pessoais do usuário em questão, seja obtido em registros públicos, seja com dados do próprio usuário (esse segundo fora do escopo da pergunta, já que é um cenário parecido com o de um keylogger), a taxa de descoberta se torna ainda maior.

Por essa razão, se uma credencial de acesso é derivada de uma senha, nada do que você fizer vai impossibilitar alguém de testar candidatos de senha até encontrar a verdadeira. Não importa o quanto seu processo de derivação seja complicado (a princípio, pensei em sugerir SRP ou HOTP/TOTP para ajudar a proteger a senha original, mas percebi que seria inútil), quando se assume que o atacante possui acesso a todos os seus parâmetros (algoritmo, salt, pepper, etc) e resultado esperado (hash, chave, etc), ele pode recuperar sua senha por força bruta.

Desse modo, impossibilitar a obtenção da senha original é inviável, resta apenas dificultar (o que é feito através de um algoritmo - não necessariamente um hash - lento). Para tornar o esquema à prova de falhas, só impedindo que o atacante ganhe acesso à informação confidencial em primeiro lugar...

  • Detalhe adicional: me refiro a "senhas" no sentido de "texto a ser memorizado pelo usuário"; se um sistema utiliza senhas geradas aleatoriamente e suficientemente longas (256 bits de entropia, ou 512 na presença de computação quântica), então mesmo o hash mais simples e rápido - como o MD5 - será suficiente para impedir na prática que o atacante descubra uma senha previamente desconhecida (MD5 é vulnerável a colisões, mas isso não é relevante aqui - sua resistência a pré-imagem é o que importa, e isso ainda não foi contestado).

    O motivo é que, embora teoricamente ainda se possa testar candidatos até achar o certo, o número de candidatos é tão grande que não é possível fazê-lo na prática: mesmo divergindo todos os recursos do planeta (e além) para essa tarefa, a probabilidade de se achar o candidato certo permaneceria negligível.

    Entretanto, esse tipo de senha costuma ser demasiado complexa para ser guardada na memória, de modo que a única maneira prática de utilizá-la é escrevendo-a em algum lugar/mantendo uma cópia em arquivo/usando um gerenciador de senhas. Nesse contexto - visto que é necessário dar proteção adicional aos dados gravados - essa credencial é mais comumente chamada de "chave", não de senha, e possui características de segurança bem distintas daquilo que chamamos no dia-a-dia de senha.

Quais preocupações adicionais evitariam o acesso às senhas? Existem formas melhores de fazer esse hash?

A "lentidão" do hash é você que escolhe: se não há problema em se esperar 1 minuto antes de se fazer o login, você pode escolher um hash que leva 1 minuto para computar num hardware "topo-de-linha". Um ataque de dicionário/força bruta a 1 tentativa por minuto dificilmente iria longe... No fim, é um equilíbrio entre confidencialidade e disponibilidade.

E quanto a providências adicionais, é importante uma "defesa em profundidade" (ex.: use um algoritmo de hash que use, ao mesmo tempo a) um valor do banco de dados; b) um valor no sistema de arquivos; c) um valor presente só na memória - informado pelo operador durante o início/restart do servidor) e o reforço de sua aplicação/servidor para prevenir ataques que dariam acesso a esses dados. Só lembrando que, quanto maior o requisito de segurança, maior o custo - então pese os riscos e as consequências antes de "fazer todo o esforço possível" ou almejar um sistema "o mais seguro possível", pois isso dificilmente seria a atitude mais sensata (ex.: o item "c" exigiria intervenção manual sempre que o servidor fosse reiniciado).

76

phpass - o segredo do WordPress

  • "Como fazer hash de senhas de forma segura?"

Quando eu tive que responder a essa pergunta na prática, há alguns anos atrás, eu fui espiar o código do WordPress. Meu pensamento era: se o mundo inteiro usa massivamente o WordPress, e não estamos mais ouvindo falar de ataques devido a vulnerabilidades de segurança no mesmo... então isso significa que a solução deles está "à prova de balas"...

E foi então que mergulhei no código do WordPress. Confesso que fiquei horrorizado com o que me parecia uma baderna. Mas também me surpreendi, estupefato, com o fato de que o WordPress não usa Session - este foi um grande aprendizado, e eu admirei muito isso. Enfim, fui destrinchando a coisa até extrair de lá o código que lida com autenticação / autorização - incluindo a geração do hash. Juntei tudo numa classe, usei em alguns projetos, e recentemente transformei num package para o Laravel.

A quem interessar, o código está no GitHub.

Porém, o peso-pesado da criptografia é realizado pelo "Portable PHP password hashing framework" (phpass).

Conhecendo apenas o necessário e suficiente sobre salt e chaves, mas mesmo sem saber os detalhes das profundezas sobre encriptação, sei que estou oferecendo aos meus clientes uma solução "top notch" - tão segura quanto a que é efetivamente usada pelo peso-pesado WordPress! :-)

Exemplos Práticos

A utilização do phpass para gerar um hash de uma senha é facílima:

$hasher = new PasswordHash();
$hash = $hasher->HashPassword( $senha );

Lembrando que é tão segura quando a geração de hash do WordPress.

Outra coisa legal é que a cada vez que a função é executada para a mesma senha, um hash diferente é gerado! Por causa disso mesmo, não é possível conferir se uma senha está correta fazendo

if ($hash_armazenado_no_bd == $hasher->HashPassword( $senha ))

Assim mesmo, para conferir se uma senha está correta é muito fácil também:

$hasher = new PasswordHash();
$correta = $hasher->CheckPassword( $senha, $hash );

No código acima, a variável $hash deve conter o hash da senha do usuário, salvo previamente no banco de dados, e obtido do mesmo.

Desse modo, graças ao open source, com o menor esforço possível satisfaço um exigente requisito de segurança, fazendo o sistema o mais seguro possível pelo menor custo possível! ;-)

Para saber mais: How to manage a PHP application's users and passwords

4
  • 3
    Concordo que o phpass é uma biblioteca decente, mas conhecer alguns detalhes do seu funcionamento ainda é importante para se construir um "sistema o mais seguro possível". Por exemplo, se esse pacote for usado num PHP anterior ao 5.3.0 (e sem o patch do Suhosin) todas as garantias de segurança vão por água abaixo (pois na ausência do bcrypt ele recai sobre MD5 iterado). O fator de trabalho do algoritmo (tão importante quanto "salt e chaves") também é configurável por esse pacote ($hash_cost_log2), e se mal utilizado também o torna inseguro.
    – mgibsonbr
    Commented 14/03/2014 às 2:10
  • 4
    A propósito, a razão pela qual toda vez a função retorna um hash diferente pra mesma senha é porque a saída do bcrypt inclui o sal (gerado aleatoriamente) e o fator de trabalho. O código if ($hash_armazenado_no_bd == $hasher->HashPassword( $senha )) não funciona porque ele re-gera esses parâmetros, mas o que o CheckPassword faz por baixo dos panos é basicamente a mesma coisa - só que implementado da forma correta para o algoritmo usado.
    – mgibsonbr
    Commented 14/03/2014 às 2:14
  • 3
    Mas será seguro o suficiente para estarmos descansados?
    – Jorge B.
    Commented 14/04/2014 às 16:22
  • 3
    Olá! Só vi isso agora e ajudou-me MUITO! Mas tenho ainda uma duvida... eu uso esse checkpassword assim: include_once('DataAccess.php'); $db = new DataAccess(); $stored_hash = $db->getPassword(); $correta = $hash->CheckPassword( $user_pass, $stored_hash ); if ($correta == true){ ... } Mas continua a dizer que a password está errada... Alguma ideia?
    – Bruny
    Commented 5/02/2016 às 15:43
50

Resumindo:

Que aceder aos Hash pode de forma mais rápida ou mais lenta aceder às password.

Há sites com as chamadas Rainbow Tables, que são BSs de com hashs pre calculados.

No caso do SQL / MySQL / ... tem uma ferramenta "Hashcat" que ajuda a comparar hashs.

Se quiser segurança máxima, use tokens (criam aleatoriedade à password) ou certificados digitais.

Dê uma vista de olhos nos seguintes sites:

Rainbow Tables

https://www.freerainbowtables.com/

Hashcat

http://hashcat.net/oclhashcat/

0
38

Use Salt.

Isto é, uma sequência alfanumérica que só seu sistema conhece e que você adiciona às senhas antes de fazer o hash. Só isso acaba com a maioria dos ataques.

Com Salt usado corretamente até o MD5 pode ser usado com certa tranqüilidade. Melhor ainda se você usar um salt aleatório e único por usuário, guardado em separado dos hashes das senhas.

Sem salt, até os algoritmos mais complexos ficam suscetíveis a ataques de força bruta com Rainbow Tables, por exemplo.

37

A grosso modo eu (particularmente) crio um "salt" para concatenar com o hash, uma especie de "tempero", por exemplo;

$senhaDoUSuario = 'minhaSenhaFraca';
$salt = 's697er3z1680e6r87er2g35g6514'; //(catwalk)
$pass = sha1($senhaDoUSuario . $salt);  //Coloco sal na criptografia

echo $pass;
    
// Senha sem "sal", apenas criptografada
// 7cdbf96f878b6816abdecd3f564a897ab393cecd
    
// Resultado com sal e criptografada
// 7cdbf96f878b6816abdecd3f564a897ab393cecds697er3z1680e6r87er2g35g6514

Mesmo que o usuario mal intensionado tenha acesso a senha criptografada, ele não conseguira usar softwares ou aplicações que quebram a criptografia.

Tradução de salt do inglês: sal

Seria ideal também salvar o salt em alguma variável de ambiente para fazer a verificação.

Para a verificação você faria a comparação das hashes (variável do usuário concatenada com o salt como no exemplo acima).

2
  • 2
    @fabio adicionei um meio de fazer a verificação.
    – RFL
    Commented 28/02/2017 às 22:00
  • @CmteCardeal, quando você for adicionar o fenced code block, cuidado para não adicionar indentação desnecessária. Commented 7/03/2021 às 22:50
18

Funções de hash boas para senhas

PBKDF2

O PBKDF2 vem da PKCS#5. É parametrizado com contador de iterações que iniciando por 1 e não tem limite superior, um salt arbitrário sem restrição de tamanho, e o tamanho requerido de saída. (O PBKDF2 gera uma saída de tamanho configurável), e um PRF. Na prática o PBKDF2 é sempre usado com HMAC, que é construído por sua vez sobre uma função de hash também. Quando dizemos “PBKDF2 com SHA-1”, na verdade significa “PBKDF2 com HMAC com SHA-1”.

Vantagens:

Já foi definido há bastante tempo, e ainda está “ileso”. Já está presente em vários frameworks (como .NET, por exemplo). Altamente configurável (apesar de algumas implementações não permitirem a escolha do hash, como o .NET que usa apenas SHA-1). Aprovado pelo NIST (observar a diferença entre hashing e derivação de chave; leia a seguir). Tamanho de saída configurável (leia a seguir).

Desvantagens:

É intensivo somente pra CPU, e bem mais acessível para a GPU (o servidor é um pc normal usualmente, para tarefas usuais, enquanto o atacante pode investir mais em hardware especializado e ter vantagem com isso). Você tem que ajustar os parâmetros por sua conta (gerar e gerenciar o salt, número de iterações etc). Há um encoding padrão para os parâmetros do PBKDF2 mas ele usa ASN.1, então as pessoas evitam sempre que podem (ASN.1 é complicado para não-experts).

1
  • 4
    Acredito que deva usar o PBKDF2 em último caso. O BCrypt, criado há muito mais tempo, ainda consegue ser melhor do que o PBKDF2. Hoje, existe o Argon2i.
    – Inkeliz
    Commented 30/11/2017 às 22:38
17

Se possível utilize o Argon2, ele foi o vencedor do PHC, possui mais opções de ajustes, se comparado ao PBKDF e ao BCrypt.

Ele você pode ajustar:

  • Iterações: custo de tempo, mais operações serão feitas.

  • Memoria: custo de memoria, mais memoria será exigida.

  • Threads: custo por paralelismo, mais processos serão iniciados.

Você tem duas opções:

  • Argon2i: seguro contra ataques side-channel, os acessos à memoria não vão revelar traços da entrada atual. Isto é ideal caso esteja usando algum hardware compartilhado ou com acesso para terceiros, como em um servidor em nuvem pública.

  • Argon2d: totalmente vulnerável contra ataques side-channel, tal como o SCrypt. Porém, garante melhor segurança contra GPU/FPGA, uma vez que não é possível pre-computar os dados. Isto é ideal caso esteja numa plataforma segura ou que não tenha preocupações com side-channel, como em um aplicativo para Android.

  • Argon2id: é mais recente e é a junção dos dois acima, sendo uma solução entre os dois casos. Ele garante melhor proteção contra side-channel, comparando com Argon2d. Além disso, possui melhor proteção contra GPU, se comparado com o Argon2i. Essa opção é a melhor para todos os casos, onde existe uma preocupação com ambos os ataques.

13

Um exemplo bem simples. Pego uma palavra (que poderia ser uma senha) e gero o MD5 da mesma:

$ echo "teste" | md5sum
1ca308df6cdb0a8bf40d59be2a17eac1  -

Se você procurar pela string "1ca308df6cdb0a8bf40d59be2a17eac1" no Google, descobre imediatamente que ele está relacionado a palavra "teste". Os atacantes usam as chamadas "rainbow tables" que são coleções de MD5s ou SHA-1's (e outros hashes ditos seguros) com palavras conhecidas.

Por isso, um hash não é suficiente para proteger uma senha, porque os usuários usam senhas fracas e toda senha forte que já "vazou" em algum lugar, vai sendo adicionada às "rainbow tables".

A técnica básica de hash correto de senha é "salgar" a senha com um dado adicional. Por exemplo:

echo "28234892423394 teste" | md5sum
2409fe72ab7c6d335b35dc9e7090951d  -

Este MD5 você não encontra no Google. Onde você for armazenar a senha, você armazenaria as duas informações: o "salt" e o MD5:

28234892423394 2409fe72ab7c6d335b35dc9e7090951d

O "Salt" não precisa ser criptografado e é inútil para tentar descobrir a senha original a partir do hash (supondo que o hash seja bom, o MD5 já não é considerado bom). Quando o usuário digitar a senha, você concatena-a com o "salt" e recalcula o MD5. Se bater com o armazenado, prova que o usuário conhece a senha original.

Mas você não vai fazer nada disso manualmente. Toda linguagem tem funções criptográficas como bcrypt() que fazem tudo automaticamente. As outras respostas também explicam de forma extensa outras técnicas como HMAC, etc.

2
  • 2
    Isso não resolve o problema, ainda continua sendo extremamente rápido uma busca exaustiva. O salt não atrasa a computação, o tempo continua igual, a diferença é despresível ou inexistente. Isso resolve um problema e um maior continuará existindo. O BCrypt é totalmente diferente de MD5, o HMAC também não foi feito para senhas, por isso existe o PBKDF2 que usa HMAC, porém várias vezes, para tentar atrasar buscas exaustivas. Buscas exaustivas funcionam com senhas porque elas, por si, tem baixa entropia, inclusive existe o HashCat.
    – Inkeliz
    Commented 5/04/2018 às 11:51
  • 2
    Além disso, se você estiver acrescentando o salt como prefixo você poderá estar anulando ele. Já que, neste caso, se o salt tiver o mesmo tamanho do bloco do MD5, você pode comprimido apenas uma vez. Isso é, você comprime o prefixo e então apenas busca a senha e compara o valor comprimido, ganhando ainda mais performance. O MD5 usa merkle–Damgard, que seria "igual" ao CBC, por isso poderá comprimir o salt uma vez. :D
    – Inkeliz
    Commented 5/04/2018 às 11:55
-5

Fazer o hash de uma senha é fácil:

No formulário de registo o utilizador coloca o username e a password. Esses dados são juntos na mesma string, p.ex. username+"@"+password, onde o caracter "@" pode ser, em príncipio, qualquer outro ("|", ...). A essa string aplica-se um algoritmo de hash como o SHA256, p.ex.

Note que assim, a cópia da hash que está na base de dados, na tabela com o user e o hash acima, de um utilizador para outro não dá resultado, pois ambos têm usernames diferentes, e portanto hashs diferentes.

O hash é um modo seguro de proteger dados, pois a operação inversa é muito difícil (depende do comprimento da senha), ou impossível.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .