Armazendando Senhas Com Funções de Hash

Transcrição

1 Armazendando Senhas Com Funções de Hash Paulo Ricardo Lisboa de Almeida 1

2 Função de Hash Mapear uma entrada (string) de tamanho arbitrário para uma saída de tamanho fixo Saída de 128, 256, bits Ao aplicar uma função de hash em uma entrada obtemos um hash ou digest Funções de hash podem ter diversos usos Verificar integridade de arquivos Verificar autenticidade de mensagens Criptografar informações 2

3 Função de Hash - Exemplos Utilizando Sha-256 Entrada Paulo Não havia nada de muito especial nisso, também Alice não achou muito fora do normal o Coelho dizer para si mesmo O puxa! Oh puxa! Eu devo estar muito atrasado! Hash 9d87609a3584d3fca24b7084dc445c 5b6f5b8ac2c6db3a1fb0d3ab7ffe27e ea199ad8c617fcbdad76a057cb5 8ddc66262a6caaa6c7affde06d5e2d d8cb 3

4 Função De Hash Hashes não são reversíveis Pelo menos se implementados da maneira correta Não é possível recuperar a informação original através do seu Hash Na primeira linha da tabela anterior não é possível criar um método que retorne a string original (Paulo) a partir do hash gerado. Essa propriedade torna interessante o uso de hashes para a armazenagem de senhas 4

5 Armazenando Senhas com Hashes A senha que o usuário Paulo Digita para entrar no sistema é 1234abcd username paulo usuario12 usuariocuritiba87 senha 221b37fcdb52d0f7c39bbd0be211db0e1c00ca5fbecd c6b964b a073d5f14e2a17d0e1af614a665f17be3053c3cfed6eb89a 6a41cfa01836ab5c 43c86bbdd dfbe45ea6b74e70e2e65cd5f799 2f8b0ad84d25923ac 5

6 Armazenando Senhas com Hashes A senha que o usuário Paulo Digita para entrar no sistema é 1234abcd username paulo usuario12 usuariocuritiba87 senha 221b37fcdb52d0f7c39bbd0be211db0e1c00ca5fbecd c6b964b a073d5f14e2a17d0e1af614a665f17be3053c3cfed6eb89a 6a41cfa01836ab5c 43c86bbdd dfbe45ea6b74e70e2e65cd5f799 2f8b0ad84d25923ac Se um hash não é reversível, e somente o hash é armazenado no banco de dados, então como vou saber que um usuário digitou sua senha corretamente? 6

7 Validando Senhas com Hash 1.Armazenar o hash da senha do usuário no banco de dados 2.Quando o usuário precisar logar, pedir login e senha 3.Transformar a senha digitada em um hash 4.Comparar o hash armazenado no banco de dados com o hash gerado pela senha digitada 5.Se os dois forem iguais, o usuário digitou a senha corretamente 7

8 Gerando Hashes Com um Sal Mesmo senhas armazenadas com função de hash podem ser quebradas! Como? 8

9 Gerando Hashes com um Sal Mesmo senhas armazenadas com função de hash podem ser quebradas! Uso de lookup tables Para evitar isso, deve-se utilizar um sal que é único para cada usuário Sal é um valor aleatório que é adicionado a função de hash Exemplo de sal uiodsad + login Funciona de maneira similar ao seed em um gerador de números aleatórios Uma String qualquer 9

10 Gerando hashes com SHA-256 em Java public class PasswordEncoder { private String bytetobase64(byte[] bt) throws Exception { } String returnstring = new Base64().encodeToString(bt);//por não ser urlsafe, é adicionado um '=' return returnstring.substring(0, returnstring.length() - 1);//removendo o '=' do fim da string public String codificar(string senha, String sal) throws Exception { String encodedpassword = null; MessageDigest digest = MessageDigest.getInstance("SHA-256"); digest.reset(); digest.update(sal.getbytes("utf-8")); byte[] btpass = digest.digest(senha.getbytes("utf-8")); digest.reset(); btpass = digest.digest(btpass); encodedpassword = bytetobase64(btpass); } } return encodedpassword; 10

11 Gerando hashes com SHA-256 em Java public class HashMain { public static void main(string[] args) { try{ PasswordEncoder encoder = new PasswordEncoder(); String login = "paulo"; String senha = "1234abc"; String sal = "*73hj" + login; String hash = encoder.codificar(senha, sal); System.out.println(hash); } } }catch(exception e){ e.printstacktrace(); } 11

12 Gerando Hashes com um Sal Toda vez que formos verificar a senha, devemos utilizar o mesmo sal Como armazenar o sal? 12

13 Gerando Hashes com um Sal Toda vez que formos verificar a senha, devemos utilizar o mesmo sal Como armazenar o sal? O sal pode ser gerado em função do login, como no exemplo em Java dos slides anteriores Nunca se deve armazenar o sal no banco de dados diretamente Se um atacante tiver acesso ao banco, ele terá acesso ao sal 13

14 Gerando Hashes - Exercício Faça um algoritmo que possa armazenar logins e senhas As senhas devem ser armazenadas utilizando uma função de hash O algoritmo também deve permitir que se valide a senha de um usuário Digita login e senha e verifica no banco de dados se o usuário e a senha batem com a cadastrada O login e senha podem ser armazenados em um banco de dados, em um arquivo texto, xml,... O algoritmo pode ser criado utilizando qualquer linguagem de programação C/C++, Java, PHP, Matlab,... 14