Guardar claves de acceso de forma segura

[[Delphius]]

Hola yapt,
No me parece adecuado que se guarde en un archivo de texto... como que es algo inseguro. Deberías considerar otras alternativas.

Tampoco es recomendable guardar la clave cifrada, en todo caso a lo que se recurre es guardar su valor Hash. Como debes saber, estos algoritmos no son reversibles, de modo que no es posible obtener el "texto" original de su hash.

¿Cómo se valida? Simplemente cuando el usuario se loguea, se obtiene el hash del texto que ha ingresado como contraseña. Si es el mismo al guardado (sea donde sea...) se da por entendido que el usuario ha sido identificado y correctamente logueado.

Saludos,

[yapt]

Hola Delphius,

me parece que me he explicado mal.

No se trata de que el usuario entre su clave de acceso, cada vez, para acceder a la base de datos (por ejemplo).

Se trata de que la clave debe quedar GUARDADA en algún sitio puesto que es la clave de acceso a la base de datos, por ejemplo.

Imaginemos, 1000 usuarios, atacando a un sistema de base de datos transaccional. Evidentemente no les dás la clave de la base de datos a todos los usuarios (aunque he visto algunos sistemas donde lo hacen así).

Lo que hacemos es lo siguiente:

1.- Conectamos a la Base de datos (con la clave que está guardada en algún sitio). Esto es "invisible" al usuario.
2.- Solicitamos, ahora si, el usuario y clave de "autenticación" del usuario (seguramente se comprueba -por la aplicación- contra alguna tabla de la base de datos a la que YA estás conectado).
3.- Si todo es correcto, vamos para delante.

El punto flaco, es el punto 1. Donde y como guardamos esa clave (que el usuario normalmente no debe conocer, aunque si que la conoce el dpto. de sistemas o el administrador del sistema).

Espero haberme explicado mejor.

Un saludo.