hashing
4 artículos con esta etiqueta
Filtración de datos de Takufile-bin (2019) — por qué guardar contraseñas en texto plano es fatal, y la defensa del hashing
Se explotó una vulnerabilidad del servidor para lograr acceso no autorizado y se filtraron ~4,8 millones de registros — nombres, correos, contraseñas de acceso, fechas de nacimiento, incluidos clientes dados de baja. El fallo decisivo fue que las contraseñas de acceso se guardaban sin cifrar, en texto plano: al filtrarse, eran usables de inmediato y alimentaron el robo de cuentas en otros sitios por reutilización de contraseñas. Defiéndete guardando las contraseñas como un hash de un solo sentido con sal, sin conservar datos que no necesitas, parcheando vulnerabilidades y preparándote para la reutilización (2FA).
¿Qué es el hashing de contraseñas? Almacenar contraseñas con seguridad mediante una transformación de un solo sentido
El hashing de contraseñas consiste en almacenar una contraseña como una transformación de un solo sentido e irreversible. Nunca guardes texto plano. A diferencia del cifrado, no puedes descifrarla de vuelta: ese es el objetivo. Pero MD5/SHA-256 a secas caen ante tablas arcoíris y fuerza bruta. La solución: una sal por usuario más un hash deliberadamente lento (bcrypt/Argon2/scrypt). No lo programes tú mismo; usa la función estándar.
Cómo guardar contraseñas con seguridad — la forma correcta de aplicar hash y salt
Una guía práctica para guardar contraseñas con seguridad en el servidor. Entiende por qué el texto plano, el cifrado y los hashes simples fallan todos, y luego converge en una respuesta: un salt por usuario más un hash deliberadamente lento (Argon2id recomendado, bcrypt/scrypt como alternativas). No lo inventes tú — usa la función estándar, sube el coste con el tiempo y migra los hashes débiles re-hasheando al iniciar sesión.
¿Qué es una sal? El 'condimento' por usuario que se añade a un hash de contraseña
Una sal es un valor aleatorio y por usuario que se añade antes de aplicar el hash a una contraseña. La misma contraseña se almacena entonces distinta para cada usuario, lo que derrota las tablas arcoíris precalculadas e impide que una sola ejecución de cracking rompa muchas cuentas. Una sal no es secreta: guárdala junto al hash. bcrypt/Argon2 añaden una automáticamente.