Autenticación segura en C++: cómo no filtrar contraseñas

Introducción: por qué la autenticación segura no es una opción, sino una necesidad

Amigos, imagínense la escena: han escrito una aplicación C++ genial — un servidor para chat, una API para una tienda en línea o incluso una simple base de datos de clientes. Todo funciona, los usuarios están contentos. Y de repente, ¡pum! — alguien roba la base de datos con contraseñas. Filtración en la red, reputación por los suelos y usuarios en pánico. ¿Les suena? Desafortunadamente, esta es la historia de miles de startups y gigantes. Y todo porque la autenticación segura en aplicaciones C++ se implementó "a la ligera".

En este artículo no daremos aburridas conferencias. Analizaremos cómo proteger adecuadamente el inicio de sesión de usuarios en su proyecto C++. Aprenderá por qué almacenar contraseñas en texto plano es un pecado mortal, cómo usar correctamente el hash y cómo protegerse de los ataques más comunes. ¡Allá vamos!

Fundamentos de seguridad: los tres pilares sobre los que todo se sostiene

Antes de escribir código, entendamos qué significa realmente "autenticación segura". No es solo "verificar usuario y contraseña". Es toda una filosofía compuesta por tres principios principales:

• Nunca almacenes contraseñas en texto plano. Incluso si un hacker roba la base de datos, debe obtener un conjunto de caracteres inútil.
• Usa "sal" (salt). Contraseñas iguales de diferentes usuarios deben generar hashes distintos. Esto elimina las tablas rainbow.
• Protege el canal de transmisión. La contraseña no debe viajar por la red en texto plano. Usa HTTPS o cifrado a nivel de protocolo.

Ahora pasemos a la práctica. Construiremos un sistema de autenticación de usuarios en C++ utilizando bibliotecas criptográficas modernas.

Paso 1: Hash de contraseñas — elegir el algoritmo correcto

Olvídense de MD5 y SHA-1. Eso es del siglo pasado. Para el almacenamiento seguro de contraseñas en C++ se necesitan algoritmos lentos y resistentes a ataques: bcrypt, scrypt o Argon2 (este último es el ganador del concurso PHC).

Usaremos bcrypt — es simple, confiable y existe una excelente biblioteca libbcrypt o bcrypt-cpp. Instálela a través de su gestor de paquetes (vcpkg, conan o compílela manualmente).

Ejemplo: hash de contraseña con bcrypt

#include <iostream>#include <string>#include <bcrypt/bcrypt.h> // supongamos esta estructura

// Función para hashear la contraseñastd::string hashPassword(const std::string& password) {    // Generamos la "sal" (normalmente bcrypt lo hace automáticamente)    char salt[BCRYPT_HASHSIZE];    char hash[BCRYPT_HASHSIZE];        // Generación de sal (la función real puede diferir)    bcrypt_gensalt(12, salt); // 12 rondas — buen equilibrio velocidad/seguridad        // Hash de la contraseña    bcrypt_hashpw(password.c_str(), salt, hash);        return std::string(hash);}

int main() {    std::string userPassword = "MySuperP@ssw0rd!";    std::string hashed = hashPassword(userPassword);    std::cout << "Hash de la contraseña: " << hashed << std::endl;    return 0;}

Observen: la sal ya está incorporada en el hash. bcrypt genera automáticamente una sal única para cada contraseña. Esto es la protección contra fuerza bruta mediante tablas rainbow.

Verificación de contraseña al iniciar sesión

Cuando el usuario ingresa la contraseña, no podemos "deshashearla" (el hash es una función unidireccional). En su lugar, comparamos el hash de la contraseña ingresada con el almacenado en la base de datos:

bool verifyPassword(const std::string& password, const std::string& storedHash) {    // bcrypt_checkpw devuelve 0 si la contraseña coincide    return (bcrypt_checkpw(password.c_str(), storedHash.c_str()) == 0);}

// Ejemplo de uso en el código de autenticaciónstd::string userInput = "MySuperP@ssw0rd!";