VeraCTO · te explica cómo funciona

Teoría

Tres preguntas que responde la criptografía práctica de todos los días: ¿este mensaje es auténtico y no fue modificado? (HMAC), ¿estos dos tokens son iguales sin regalar pistas por tiempo de respuesta? (comparación constante), y ¿cómo guardo contraseñas para que un robo de base de datos no sea el fin? (argon2id). Synsema trae las tres de serie.

HMAC: firma y verificación de mensajes

let firma be hmac_sha256(cuerpo, clave)          -- hex de 64 caracteres
verify_hmac(cuerpo, firma_recibida, clave)       -- true/false, en tiempo constante

Es el mecanismo de los webhooks de Stripe/GitHub/Shopify: quien conoce la clave puede verificar que el mensaje viene de quien dice venir y no fue tocado. verify_hmac acepta firmas en hex o base64 y compara en tiempo constante.

Comparar tokens: `constant_time_eq`

Comparar con == un token secreto abre un canal lateral: la comparación corta en el primer byte distinto y el tiempo de respuesta filtra información. constant_time_eq(a, b) tarda siempre lo mismo, y acepta secretos en cualquiera de los dos lados.

Contraseñas: NUNCA sha256

let hash be password_hash(pw)        -- "$argon2id$v=19$..." con sal aleatoria
password_verify(pw, hash)            -- true/false, constante

sha256/hmac_sha256 son rápidos a propósito — perfectos para integridad, fatales para contraseñas (una GPU prueba miles de millones por segundo).
password_hash usa argon2id con parámetros OWASP y sal aleatoria: dos usuarios con la misma contraseña obtienen hashes distintos.
token() genera un identificador impredecible (sesiones, API keys) del CSPRNG del sistema — necesita require random. Nunca uses random() para seguridad.

Ejecuta el ejemplo: fíjate que el mismo password_hash("hola") da un hash distinto en cada corrida (sal aleatoria) y sin embargo password_verify siempre lo reconoce.

Integridad: firmas, comparaciones y contraseñas

+10 xp

Estás en modo lectura. Crea una cuenta o entra para enviar tu solución y ganar estrellas. Puedes ejecutar código igual.

Ejemplo de Vera — modifícalo y ejecútalo