1

Estou desenvolvendo um sistema ASP.NET MVC, banco de dados SQL Server, que terá controle de logins, e para encriptar a senha, eu desenvolvi as seguintes functions e procedures:


CREATE FUNCTION [dbo].[ENCRIPTA_SENHA]
(
   -- Add the parameters for the function here
   @SENHA VARCHAR(200)
)
RETURNS VARBINARY(200)
AS
BEGIN
   DECLARE @pwd varchar(50) = 'maicongabriel', @RESULTADO VARBINARY(256)
   set @RESULTADO = ENCRYPTBYPASSPHRASE(@PWD, @SENHA)

   RETURN @RESULTADO
END

CREATE FUNCTION [dbo].[DECRIPTA_SENHA]
(
       -- Add the parameters for the function here
       @SENHA VARCHAR(200)
)
RETURNS VARCHAR(200)
AS
BEGIN

DECLARE @pwd varchar(50) = 'maicongabriel'

       RETURN CAST(DECRYPTBYPASSPHRASE(@pwd,@SENHA) As VARCHAR(200))

END

CREATE PROCEDURE [dbo].[VALIDA_SENHA]
       -- Add the parameters for the stored procedure here
         @USUARIO VARCHAR(200), @SENHA varchar(200)
AS
BEGIN
       -- SET NOCOUNT ON added to prevent extra result sets from
       -- interfering with SELECT statements.
       SET NOCOUNT ON;

    -- Insert statements for procedure here
       SELECT X.USUARIO FROM 
          (SELECT USUARIO, DBO.DECRIPTA_SENHA(SENHA) SENHA FROM USUARIOS_TESTE A ) AS X 
       WHERE X.USUARIO = @USUARIO AND X.SENHA = @SENHA

END

Quando vou fazer o insert no banco via ASP.NET MVC, eu iria fazer o mesmo mais ou menos desta forma:

INSERT INTO USUARIOS_TESTE SELECT 'daniel', dbo.ENCRIPTA_SENHA('123456')

E quando eu for processar o form do login, iria usar a minha procedure e ver se ela trouxe retorno:

VALIDA_SENHA 'DANIEL','123456'

É uma boa prática fazer desse jeito? Existe alguma forma melhor? Pois assim as senhas ficarão encriptadas no banco de dados, e no código fonte ASP.NET ficarão apenas a execução do ENCRIPTA_SENHA e do VALIDA_SENHA..

3
  • Claro que o @pwd varchar(50) = 'maicongabriel' é apenas um exemplo, irei colocar algo mais complexo ali.. somente para exemplo agora estou usando esse 'maicongabriel' 16/08/2018 às 14:49
  • Isto não é uma boa pratica, por que voce pode utilizar o PROFILLER e pegar tudo que esta sendo passado para o banco de dados, assim vai saber a senha. Voce deve criptografar antes de enviar para o banco de dados 16/08/2018 às 14:53
  • Qual função C# posso usar para criptografar e descriptografar as senhas @PauloAlexandre ? 16/08/2018 às 16:19

1 Resposta 1

1

Criptografar a senha no banco é perfeito, mas veja que você está usando a criptografia direto na INSERT, isso significa que deverá usar o mesmo quando fizer o SELECT para comparar a senha.

O ideal é que a senha não seja "descriptografada", a boa prática é usar um Hash que não possa ser desfeito exatamente por segurança.

Para isso, usar a função HASHBYTES pode ser uma boa alternativa. Se precisar o usuário pode redefinir a senha, mas não "descriptografar", isso é a forma mais segura de salvar a informação.

5
  • Não conhecia essa função... dei uma olhada nela e realmente, com ela não vou precisar descriptografar a senha em momento algum... vou analisar pra usar essa função no meu valida_senha.. muito obrigado! 16/08/2018 às 16:23
  • 1
    Sim, você pode montar o insert assim: INSERT INTO USUARIOS_TESTE SELECT 'daniel', HASHBYTES('SHA1', '123456'), só lembre que o retorna de HASHBYTES é um varbinary, talvez você precise converter para o tipo de dados do seu campo. 16/08/2018 às 16:31
  • 1
    Sim.. a coluna senha no meu banco já é um varbinary.. e na hora de fazer a validação com o select, ele ficaria asssim: SELECT X.USUARIO FROM (SELECT USUARIO, SENHA FROM USUARIOS_TESTE A ) AS X WHERE X.USUARIO = @USUARIO AND X.SENHA = HASHBYTES('SHA1', @SENHA) isto né? 16/08/2018 às 16:36
  • Fiz um teste com variáveis, e realmente, como mostra a Imagem , deu certo! Muito obrigado! :) 16/08/2018 às 16:46
  • Deste jeito também funcionou, mas desse jeito estou descriptografando a senha, então acho que não é o ideal, visto que o outro jeito não descriptografa né? 16/08/2018 às 17:05

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .