¿Es lo mismo aplicar hash a las contraseñas que cifrarlas?

No, y para contraseñas lo correcto es el hash. El cifrado se puede revertir con una clave, así que quien robe las contraseñas cifradas y la clave recupera todas las contraseñas. Un hash no se puede revertir, de modo que el sistema solo guarda el hash y lo compara al iniciar sesión. Los hashes rápidos normales como SHA-256 siguen siendo una mala elección para contraseñas, porque un atacante que robe una base de datos puede probar cantidades enormes de intentos por segundo con tarjetas gráficas. Use una función pensada para contraseñas, lenta a propósito y con una sal aleatoria por usuario: Argon2id, scrypt o bcrypt, como recomienda la guía de OWASP sobre almacenamiento de contraseñas. Si un proveedor o una aplicación antigua guarda las contraseñas cifradas, o con un hash simple MD5 o SHA-1, trátelo como un hallazgo que corregir. Para su propio personal, las mayores ganancias están en otra parte: la autenticación multifactor (MFA), un gestor de contraseñas y bloquear las contraseñas reutilizadas. Un sensor de red no ve cómo guarda un servidor las contraseñas; eso se revisa en la aplicación.

← Las 40 preguntas sobre Cifrado y tráfico cifradoTodos los temas