¿Puedo 'almacenar' la contraseña, haciéndola la clave en AES-256?

Lo que está proponiendo aquí no es nada más que crear su propia función hash a partir de un cifrado de bloque, ingresando los datos en el hash como la clave para el cifrado de bloque, y cifrando un "valor conocido ". Esta es, de hecho, una forma bien conocida y estudiada de crear funciones hash, conocida como Merkle-Damgård . MD5, SHA-1, SHA-256, SHA-512 ... están diseñados de esa manera. Así es, de hecho, Whirlpool .

Este último caso es interesante: Whirlpool se basa indirectamente en AES; sin embargo, los diseñadores de Whirlpool encontraron que era adecuado "modificar" el cifrado del bloque base en uno nuevo, llamado "W". Querían cambiar dos cosas: querían bloques más grandes (AES usa bloques de 128 bits; su superconjunto Rijndael alcanza 256 bits; pero querían una "función hash de 512 bits") y, lo que es más importante, necesitaban un horario clave .

Existe una debilidad bastante esotérica de cifrados de bloque conocida como ataques relacionados con la clave que analiza lo que sucede cuando varios Las claves de cifrado se utilizan con diferencias específicas entre las claves. Los ataques de claves relacionadas no son un problema para los cifrados en bloque cuando se usan para lo que fueron diseñados, que es encriptación . Por lo tanto, no estamos demasiado preocupados con AES, que se ha demostrado que es subóptimo con respecto a las claves relacionadas (su "programación de claves", la parte que deriva la clave en las 11 a 15 subclaves necesarias para el cifrado, no protege bien contra claves relacionadas). Sin embargo, si usa el cifrado de bloque como el bloque de construcción en una función hash de MD, los ataques de teclas relacionadas se traducen de forma bastante inmediata en ataques de colisión. Esta es la razón por la que los diseñadores de Whirlpool encontraron que era adecuado modificar la programación clave de W en algo que es más costoso (necesita más CPU) pero también más fuerte en comparación con las claves relacionadas que con la programación básica de claves de Rijndael.

Entonces, lo que sugieres es, básicamente, construir una función hash de una manera que los diseñadores de Whirlpool también consideraron, pero rechazaron como "demasiado débil". Esto no augura nada bueno. La advertencia habitual contra criptografía casera es la siguiente: no puede saber si su construcción es segura hasta que muchos criptógrafos la hayan estudiado durante bastante tiempo (años) y no hayan encontrado nada de malo en ella. Aquí, algunos criptógrafos han estudiado la construcción sugerida y encontraron algo incorrecto en ella.

Todo lo que se dice, incluso si convertir AES-256 en una función hash con la estructura MD fuera seguro, solo haría una parte del trabajo. De hecho, el hashing contraseña tiene algunos requisitos adicionales que el hashing normal no cumple. Las contraseñas son débiles en el siguiente sentido: la fuerza bruta actúa contra ellas. Las funciones de hashing de contraseñas deben hacer frente a la baja entropía de las contraseñas de dos maneras:

• No debe usar una función hash, sino una gran familia de funciones hash, de modo que cada instancia de hashing de contraseña use su propia función hash. Ese es el concepto detrás de sales . Esto evita los ataques paralelos , en particular una clase específica de ataques paralelos conocidos como "tablas precomputadas" (incluidas las tablas de arco iris). Su "R" al azar puede desempeñar el papel de una sal (pero es difícil decirlo hasta que se realice un análisis en profundidad de cómo se inyecta la sal en el proceso).

• La función hash debe ser lenta . Esto normalmente se realiza con un proceso iterado, donde el recuento de iteraciones es de miles o incluso millones. De lo contrario, enumerar las contraseñas potenciales y probarlas es demasiado eficiente. El recuento de iteraciones también debe aumentarse regularmente para tener en cuenta las mejoras tecnológicas (las computadoras se vuelven más rápidas con el tiempo, pero no los cerebros humanos). Su propuesta es demasiado rápida para su comodidad.

Consulte esta respuesta para una discusión más larga y sugerencias. .

En primer lugar, es una idea de horrible horrible rodar tu propio esquema de criptografía. No lo hagas Utilice bcrypt , scrypt o pbkdf2 .

El paso de cifrado en su esquema no tiene sentido. Es solo un reemplazo de una comparación rápida de la salida de hash con un paso de cifrado ligeramente menos eficiente. Su esquema se reduce esencialmente a dos iteraciones hash, una con R y el nombre de usuario actuando como una sal, y una vez sin sales de ningún tipo. Esto no soluciona el problema de que un atacante descargue su base de datos de contraseñas y la ejecute a través de un intruso de contraseñas, que es precisamente lo que intentan evitar los esquemas de hashing de contraseñas lentas como bcrypt , scrypt o pbkdf2 .