3

Queria saber como inserir um campo criptografado em uma tabela no banco de dados.
Para ilustrar a minha dúvida vamos supor que eu tenha a seguinte classe java:

package pessoa;

public class Pessoa {

    private String email;
    private String senha ;
    private String nomecompleto ;   
    ..
    ..
    ..

}

Que possuirá a seguinte entidade no banco:

CREATE TABLE usuario
    (
      email character varying(50) NOT NULL,
      senha character varying(200) NOT NULL,
      nomecompleto character varying(100) NOT NULL,
     PRIMARY KEY (email)
    )

A questão é: Eu criptografo o campo na aplicação java ou no banco de dados?E como eu posso fazer isso? Tenho que criar um método para criptografar no código java ou existe já algo pronto para usar?

1

1 Resposta 1

4

Respostas para perguntas individuais:

  1. Eu criptografo o campo na aplicação java ou no banco de dados?

A melhor opção é criptografar do lado da aplicação, assim que você receber as informações a serem criptografadas.

  1. E como eu posso fazer isso?

Não é tão simples, mas existem várias coisas prontas para algorítmos conhecidos, seguros e recomendados na internet, bastanto adaptar para o seu caso de uso específico.

Por exemplo, você poderia utilizar PBKDF2 para armazenar senhas. Veja um exemplo utilizando bibliotecas comuns do Java: https://gist.github.com/jtan189/3804290

  1. Tenho que criar um método para criptografar no código java ou existe já algo pronto para usar?

Veja 2. =]

Segurança

Criptografia de senhas não devem ser reversível. O link de resposta citado nos comentários da pergunta, não deve ser considerado para criptografia de senha, pois é reversível, e inclusive possui problemas de segurança em algumas das respostas.

É recomendado que um algorítmo forte de "criptografia" de senha seja utilizado, como o bcrypt ou o pbkdf2. Java possui implementações para estes algorítmos, portanto basta você adaptar sua tabela (no caso usuario) para armazenar os valores adicionais que o algoritmo escolhido necessita.

Os computadores modernos possuem no processador instruções que permitem agilizar muito a execução de funções de hash como SHA e MD5; além disso, a GPU permite que vários hashes sejam gerados simultaneamente, aumentando muito a quantidade de testes por segundo em um ataque de força bruta. Estes algorítmos são feitos para que além de serem seguros do ponto de vista matemático, sejam lentos para serem executados especialmente em uma GPU, que possui a vantagem do paralelismo.

Em todo caso, se desejar utilizar algo realmente simples, utilize algo como o seguinte:

  1. Adicione uma coluna salt na sua tabela usuario.

  2. Escolha um hash sem colisões conhecidas, como SHA2 ou SHA3 (e utilize a versão de 256 bits ou superior).

  3. Na coluna senha, armazene (em pseudo-código):

usuario.senha = hash(concatena(salt, senha_digitada));

  1. Para validar a senha, utilize a expressão (em pseudo-código):

senha_valida = usuario.senha == hash(concatena(salt, senha_digitada));

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .