¿Por qué no utilizar AES para el cifrado de contraseñas en PHP?

Question

En todas partes he visto personas hablando de almacenar contraseñas en una base de datos, casi siempre han usado MD5.

¿Qué pasa con AES o SHA1?

Answer 1

Si almacena una contraseña cifrada, se puede descifrar. Como muchas personas reutilizan las contraseñas en muchos sistemas diferentes, esto es algo malo. De modo que usa una función unidireccional, una función hash criptográfica, de esta forma se puede verificar una contraseña sin revelarla realmente.

Como comentó Greg, AES es un algoritmo de cifrado/descifrado. MD5 y la familia SHA son funciones hash, que son las más apropiadas para usar. Pero aléjese de MD5 hoy en día, en realidad ya no se considera lo suficientemente seguro como. Xiaoyun Wang publicó un ataque de colisión efectivo contra él en 2005, y ahora se considera que su fortaleza es considerablemente inferior a su fuerza de diseño, por lo que en términos criptográficos está "roto".

Para obtener los mejores resultados, el estándar es sal y hash una contraseña para almacenarlo - google estos términos en tándem y encontrará numerosas referencias.

Answer 2

MD5 (Message-Digest algorithm 5) es una función hash criptográfica, mientras que Advanced Encryption Standard (AES) es un algoritmo de cifrado de clave simétrica, por lo que se utilizan para diferentes propósitos. Un hash, como MD5 o SHA se usa para verificar las contraseñas porque es difícil de invertir, es decir, para obtener la contraseña de la cadena de caracteres. Un cifrado AES, por otro lado, es invertible, el mensaje original puede obtenerse si conoce la clave. Por lo tanto, si se encriptan múltiples mensajes con la misma clave, sabiendo que los expone a todos, mientras que si logra encontrar la cadena original de un hash (tablas de arcoiris, etc.), solo ha descubierto el texto sin formato para esa instancia en particular, y Tendrás que volver a hacer el trabajo para encontrar una solución para otra cadena hash.

Answer 3

Porque el cifrado AES es simétrico. Dada una contraseña cifrada con AES y la clave, puede descifrar la contraseña. Esto es indeseable, ya que casi siempre quiere que solo el propietario de la contraseña lo conozca y no desea tener una forma fácil de derivar la contraseña. Los algoritmos SHA y MD5, por otro lado, realizan una transformación (en su mayoría) unidireccional de la contraseña. No hay ninguna información (clave) que le permita devolver la contraseña transformada a su formato de texto plano.

Answer 4

El uso de AES como un cifrado simétrico para las contraseñas sería una vocación de CWE-257 y existe una vulnerabilidad. Es posible usar un symmetric cipher as a hash function. Las viejas contraseñas Unix usan DES como una función hash y los sistemas Unix más nuevos usan blowfish como función hash. Pero a pesar de que es un cifrado de bloque, se usa como una función de un solo sentido, que es un requisito para cualquier sistema de almacenamiento de contraseñas.

Para php debe usar sha256.

Answer 5

En resumen: AES es reversible. Una función hash no lo es.

Respondiendo a la respuesta aceptada ... (Lo siento, soy un usuario nuevo, no puedo publicar comentarios todavía ...) La salazón solo previene los ataques basados ​​en la tabla Rainbow. No protege "contraseñas débiles". Para proteger las contraseñas más débiles, necesitará usar una función hash que se ha demostrado que es lenta. Una bcrypt configurada correctamente es la forma más fácil de hacerlo. MD5 y SHA1 son demasiado rápidos para ser seguros. (Las colisiones encontradas con MD5 no están relacionadas con este problema que estoy describiendo)

Todas las contraseñas de 8 caracteres cifradas con MD5 o SHA1 (incluso cuando están correctamente saladas) se pueden descifrar por this dude in a single day. Salar no previene este tipo de ataque. "Optimizando" el ataque para que consista de solo ~ 500k de palabras en inglés ...y las 10,000 variaciones más comunes de ellos crackearán una gran cantidad de contraseñas.

BCrypt es más fuerte contra este tipo de ataque porque (se puede configurar que sea) millones de veces más lento que MD5. Iterativamente, usar MD5 un millón de veces teóricamente logrará lo mismo, pero te sugiero que te apegues a bibliotecas bien probadas en lugar de implementar tu propia implementación. BCrypt también usa Salting, y está disponible en la mayoría de los lenguajes de programación. Entonces no hay razón para NO usarlo.

En teoría, Scrypt es mejor, pero es demasiado nuevo (y por lo tanto, las implementaciones son probablemente todavía un poco con errores)

Para resumir: SHA512 vs. Blowfish and Bcrypt

Answer 6

La razón principal por la que el uso simétrico (o asimétrica) El cifrado no es aconsejable para proteger contraseñas: key management. Al utilizar el cifrado, debe proteger la clave de cifrado (o las entropías de las que se deriva la clave). Y proteger la clave es una tarea muy difícil de resolver. Hashing (con SHA, MD5 o cualquier otro algoritmo) resuelve el problema de la protección de claves, ya que no necesita mantener ningún valor secreto (aparte de la sal, pero la sal es significativamente menos sensible que la clave de cifrado; puede almacenar sal en Texto sin formato). Por lo tanto, si solo conserva las contraseñas con fines de autenticación (realizadas por su aplicación), no hay absolutamente ninguna razón para usar el cifrado; hashing haría bien. Sin embargo, puede haber casos en los que necesite poder descifrar contraseñas (por ejemplo, puede necesitar para pasar las credenciales de los usuarios a aplicaciones de terceros). Este es el único caso en el que el uso del cifrado estaría justificado para el almacenamiento de contraseñas.