Leer un hash almacenado, su sal y su pimienta

Una cadena de hash moderna se lee de izquierda a derecha: primero el identificador del algoritmo, luego sus parámetros de coste, después la sal y por último el resultado. Los campos suelen ir separados por el signo de dólar. Que la sal aparezca dentro de la cadena no es un descuido: la sal no es secreta. Su trabajo es ser única por contraseña, para que dos usuarios con la misma clave no tengan el mismo hash y para que no sirvan tablas calculadas de antemano. Quien lee la base ve la sal, y eso está previsto; lo que no debe poder hacer es repetirla entre cuentas.

Abre el laboratorio y ejecuta SELECT * FROM cuentas_hash y después SELECT * FROM desglose. Compara la cadena de cada cuenta con su lectura campo a campo.

Una cadena que no declara algoritmo ni parámetros, o que es un resultado suelto sin campos, es una señal: o el sistema guarda un hash de propósito general sin sal, o el campo se rellenó con otra cosa. Leer el formato permite encontrar esos casos en una tabla de miles de filas con una sola mirada: se buscan los registros que no encajan con el patrón del resto. En el desglose, la columna que indica si la sal viaja en el hash resume justo eso.

Usa el desglose para localizar la cuenta cuyo registro no lleva sal propia.

Los parámetros de coste no se guardan en un archivo aparte: viajan con cada hash. Eso permite que cuentas con parámetros distintos convivan en la misma tabla y que, al subir el coste en el futuro, las cuentas viejas sigan verificándose con los valores con que se crearon. En Argon2, la cadena declara la memoria en kibibytes con la letra m, las pasadas con t y el paralelismo con p. Leer esos tres números es lo primero que hace un auditor.

Busca en el desglose la cuenta que usa Argon2id y lee el valor de memoria que declara.

La pimienta se confunde con la sal, pero es otra cosa. Es un secreto compartido entre todas las contraseñas del sistema, que se aplica además de la sal. Por eso no puede guardarse junto al hash: si viviera en la misma base de datos, quien se lleve la tabla se llevaría también la pimienta y no habría ganado nada. Se guarda aparte, en un gestor de secretos o en un módulo de hardware, y se usa, por ejemplo, calculando un HMAC del hash ya obtenido con ella como clave. Tiene un coste operativo: cambiarla obliga a restablecer las contraseñas, porque no puede recalcularse sin conocerlas.

Consulta SELECT * FROM ajustes_pimienta y revisa dónde vive la pimienta de este servicio.