Make MV great again

El tema de guardar esa información en la base de datos es cuestión de hashear el dato con dificultad de sobra para que no sea viable atacarlo por fuerza bruta, por mucho que sepas que es un número de teléfono.

#2270 para qué querría alguien desencriptar los hashes de unos números de teléfono. Si total, puedes marcar números de teléfono al azar de 9 dígitos, para qué quieres desencriptar unos números que ya conoces y puedes marcar aleatoriamente?

Otra cosa es que ese número fuera asociado a una personas/dni/dirección. Pero la idea es tan solo almacenar el número de teléfono y cuando alguien se quiera registrar comprobar si ya está en la bbdd o no

#2283 tardas cinco minutos en desencriptarlo.

Primero te creas tu mismo los hashes de los números de teléfono, porque al contrario que una contraseña, ya sabes cuales son, y luego comparas tú base de números hasheados, con la de MV.
Pero es que no tiene sentido. Porque un número de teléfono es algo que cualquiera puede marcar aleatoriamente, igual que puedes sacar todos los DNIs que quieras, pues son 8 digitos+letra. Es una información en sí que no vale de nada.
O sacar un nombre: Francisco Pérez Jiménez. Qué hago yo con eso si no viene acompañado de más datos?

el principal problema es #2278, borrarlo de la base de datos. Derecho al olvido, fallecimientos...

#2288 Si he entendido lo que dies. Pero lo dicho, con tu proposición se sabe qué teléfono, aunque sea hasheado, es de cada usuario. Había otros users proponiendo que simplemente se guardase una lista de teléfonos hasheados sin vincular con los usuarios y al registrarse alguien nuevo se comparara con ella.

Y yo creo que sí se puede sacar el input del hash, hay pocos números de teléfono. Si asumes que el teléfono es español, que en el caso de MV no va a ser cierto siempre, pero sí muchas, tienes ocho cifras del 1 al 10 y una cifra del 6 al 8. No es ninguna locura pensar en fuerza bruta.

#2289 Nuevamente, vuelvo a citar a @AikonCWD en su post de #2276

Haces que el sistema ponga una frase al inicio y al final del número, pides el prefijo de llamada y hasheas la cadena entera:

+34 666 66 66 66 --> "coche +34 666 verde 66 con hormiga 66 en mediavida 66 halflife"

Suerte para descifrar esto sin saber la frase.

#2296 Pero eso conlleva la pérdida de un atractivo para nuevos usuarios, a la mayoría de gente le da pereza meter el número de teléfono, menos aún para un foro.

#2293 Tú lo has dicho, sin saberte la frase. La frase tiene que estar en algún sitio almacenada y por tanto la probabilidad de saberla y volver al caso de la fuerza bruta viable no es cero.

Pero vamos a ver, que lo que dificulta todo esto es la generación de hashes, es decir, el TIEMPO que tarda en generarse cada HASH.

En mi ordenador, ahora mismo, con Bcrypt, un coste de 18, y un numero de teléfono de 9 digitos, tarda 11 segundos en generarse 1 Hash.

Si tenemos que generar todos los hashes para ir del número 600000000 al número 700000000 son 100000000 de hashes o, lo que es lo mismo, 1100000000 segundos, o para simplificar, 12731 días, ₃₅ años

Se podría bajar estos tiempos con máquinas jodidamente potentes, pero vamos, no van por ahi los tiros xDD

#2302 Para mi es lo mismo, si crees que la gente de a pie se va a descargar una app de esas para registrarse al foro... Que yo uso Google Autheticator pero conozco a poquita gente que lo use. Para mi todo lo que no sea registrarse con mail usuario password y verificación del mail es una pérdida de atractivo para nuevos usuarios.

Ojo solo es mi opinión, no tiene porqué ser así.

#2299 Ese sí que es un fallo bien visto. Al final lo que antepones al telefono estará almacenado. Y si alguien ha tenido acceso a la BD para dumpear los hashes, también podría tener acceso a la cadena de texto que se añade al telf antes de hashear... hum. Pues se me acaban las ideas xD

#2301 De tiempos concretos no tengo ni idea, pero según la tabla que has puesto en #2283 100M de combinaciones son tres minutos, y en España estaríamos en unos 300M de móviles posibles, si no he patinado. No es trivial pero tampoco imposible que alguien lo sacara. Entiendo que esa tabla es con ordenadores potentes, pero si alguien quisiera podría tener acceso.

#2304 Para MV puede ser, para el usuario random entiendo que le joda es que ahora la gente pueda asociar su teléfono a su usuario del foro.