Estou fazendo um pequeno sistema, e para acessá-lo, o usuário digita o login e senha.
Qual a melhor forma - segura e simples- de fazer o sistema de login e senha?
Para uma autenticação segura é necessário identificar vários pontos.
Alguns itens que deve tomar cuidado:
1 - Iniciando
Defina um hash que será utilizado por todo seu sistema. um exemplo é
define( 'SECURITY_HASH', 'uma frase qualquer ou letras aleatórias com números e simbolos' )
2 - Crie sua tabela no banco de dados
Sugestão de tabela
id
email
username
password
keymaster
last_ip
last_access
active
created_at
uptaded_at
3 - Registro de usuário
Ao registrar valide se foi passado um email válido, se o campo de username está no formatado correto, e gere uma hash para o keymaster e utilize essa hash para criptografar a senha.
Para validar o email use
if ( filter_var( $email, FILTER_VALIDATE_EMAIL ) ) {
echo "This ($email_a) email address is considered valid.";
}
Um exemplo de como gerar o Hash
crypt( rand(99999) . time() . $_SERVER["REMOTE_ADDR"], SECURITY_HASH );
Uma forma mais segura de utilizar esta funcão é utilizar alguns $2a$
no inicio do segundo parâmetro para identificar o tipo de criptografia que deverá ser usada. Ficando da seguinte maneira:
crypt( rand(99999) . time() . $_SERVER["REMOTE_ADDR"], '$2a$07$' . SECURITY_HASH );
Onde $2a$
especifica o algoritmo Blowfish e 07$
o custo para gerar o hash.
ou se estiver usando o php 5.5 poderá usar a função password_hash(). Saiba mais em https://www.php.net/manual/en/function.password-hash.php
$_SERVER["REMOTE_ADDR"] // Obtem o IP do usuário
Armazene o IP do usuário e as datas de último acesso, e quando foi criado.
Deixe o usuário inativo (campo active = 0 ) e valide o email cadastrado enviando um email de confirmação.
No email de confirmação você informa um link do tipo
http://www.dominio.com.br/validateuser.php?key={hash do resultado da concatenação do keymaster e SECURITY_HASH}
Essa url irá mudar o campo active de 0 para 1, indicando que o usuário foi ativado.
4 - Login
Para o login você deve receber os dados do formulário e validá-los, verificando se está como o esperado.
Busque as informações do usuário no banco, utilizando apenas o username informado.
Com os dados que obteve do banco, criptografe a senha informada pelo formulário utilizando a keymaster do usuário, o mesmo procedimento do registro.
Compare a senha que obteve do banco com a senha que recebeu do formulário criptografada Caso sejam idênticas, inicie a sessão.
5 - Cuidados básicos
Para obter dados passados via POST ou GET, evite utilizar as variáveis globais puras. Para isso utilize filter_input().
Leia sobre na documentação: http://www.php.net/manual/en/function.filter-input.php
--
Para garantir que os dados enviados via formulário foi realizado de seu servidor, crie uma hash e armazene em sessão. Adicione essa hash em um campo hidden do formulário. Ao receber os valores do formulário, verifique se o hash que veio do formulário existe e está igual ao da sessão.
Renove o hash sempre que for exibir um formulário.
Neste link tem um exemplo completo sobre prevenção deste tipo de ataque https://www.owasp.org/index.php/PHP_CSRF_Guard
--
Nunca use o register_globals setado com on
Não valide seus formulários apenas no javascript, pois se o usuário estiver com o javascript desativado irá passar direto.
Utilize o PDO validando todos as variáveis antes de passá-las para uma SQL.
Configure no php.ini o seguinte session.cookie_httponly = 1 . Isso informa para o browser não expor cookies para linguagens clients side como o javascript.
Nomeie todos os arquivos com a extensão .php nunca com extensão como .inc, .conf, etc.
Evite usar md5 como criptografia, utilize bcrypt pois o algoritmo é muito mais seguro.
Guarde a sessão no banco de dados
Defina um domínio para seu cookie
Contabilize as tentativas de login e o tempo entre elas para evitar robos.
Em produção deixe o display_errors como off
Gere log de erros e envie para seu email, isso facilita identificar tentativas de invasão.
Cuidado com as permissões dos seus arquivos no servidor, garanta que apenas o apache tem permissão sobre eles.
Alguns links úteis.
Para implementar o "lembre-me" fiz uma descrição em outra resposta aqui no StackOverflow
password_hash
é corrreta, mas a função caseira não é. A recomendação é password_hash se tiver, openwall.com/phpass para versões mais velhas (em modo bcrypt, se possível).
Commented
15/02/2014 às 20:05
mt_rand
como PRNG - implementa Mersenne Twister que é excelente para ciência, porém não é criptographically strong; (2) usa uniqid
que, novamente, não é crypto. strong. Resultado: blowfish + inputs inseguros = inseguro.
Commented
17/02/2014 às 13:42
A melhor autenticação é a não autenticação
Seguem algumas recomendações:
Se possível use outros sites para autenticar no seu. Há a tecnologia OpenId que permite isso, e é muito fácil. Um exemplo de uso de OpenId é o próprio site do stackoverflow: você pode vincular o seu usuário do stackoverflow com uma conta do Google ou do Facebook por exemplo. Desta forma você delega a segurança do seu site para outros sites que - teoricamente - são mais confiáveis. Pelo menos a segurança de logon de acesso.
Guardar a combinação usuário / senha é o pesadelo de qualquer sysadmin e desenvolvedor. A primeira opção (OpenId) é a mais segura. No entanto, se OpenId não é uma opção - digamos que seja um site que está em uma Intranet que não tem acesso à Internet - o jeito é guardar usuário e senha. Assim, a melhor abordagem é guardar a senha de tal modo que caso ocorra algum tipo de roubo da base de dados (da tabela de usuários e senhas), você dê trabalho para o hacker na hora de buscar a senha. Isso significa...
A primeira abordagem que todo mundo faz (eu já fiz... em 2002!) é guardar as senhas em texto plano. Faça o teste: cadastre-se em um site qualquer e clique na opção "Esqueci minha senha". O que deve acontecer? O site irá enviar uma mensagem pedindo que você entre em uma URL específica, digite uma nova senha, e esse pedido expirará em x minutos ou em y horas. O que não deve acontecer, em hipótese alguma, é o site enviar um email para você com a senha que você esqueceu. Se isso aconteceu, coloque esse site em uma lista negra, pois guarda as senhas em texto plano. Por outro lado...
Primeiro foi o texto plano. Agora você aprendeu e quer "evoluir". Faz o quê? Claro, usa um algoritmo de geração de código hash para esconder a senha. Basicamente, um algoritmo de código hash pega uma série de bytes, faz uma conta bem maluca envolvendo somatórias e ou's-exclusivos, torce e retorce e gera um código: o código hash referente a série de bytes que foi utilizada como entrada. É praticamente impossível inferir a senha só olhando para o código hash gerado. É uma rotina de mão única, digamos assim. "Perfeito! Vou usar hash e me dar bem!" É... só que não. Vamos supor que você escolheu o algoritmo MD5 para gerar seu código hash. De cara você vai ter dois problemas:
Se o cara tiver um computador chulé e um pouco de tempo, ele consegue "quebrar o hash". Como assim? Vamos supor que a senha digitada tenha dado um código hash aaaaabbcc0011
(é só um exemplo, o código hash MD5 tem 32 dígitos hexadecimais). O hacker usa então um algoritmo de força bruta que vai gerando senhas até que uma delas dê o mesmo código hash que o código hash da senha original. Detalhe: a senha gerada pelo hacker pode ser totalmente diferente da senha original. Esse fenômeno se chama colisão, e no caso do MD5 acontece com certa facilidade;
Mas o hacker de verdade sabe que os usuários nem ligam para senhas, então o que ele faz? Ele usa um "catálogo de senhas". Quer um exemplo? A senha mais comum em vários sites é a famigerada sequência 12345678
. O hacker consegue a sua tabela de usuários e senhas e nota que várias delas são assim: 25d55ad283aa400af464c76d713c07ad
. Ele nem pensa duas vezes: digita como senha 12345678 e fica feliz. Na Internet há vários catálogos com o código hash das senhas mais comuns. Por conta disso...
Uma forma de complicar ainda mais o trabalho do hacker é colocar sal na geração do hash. "Como assim?". É simples: você gera um código alfanumérico aleatório qualquer e, na hora de gerar o hash, você inclui esse código e, de preferência, gera o hash de novo. Voltemos ao exemplo do 12345678
. Vamos imaginar que eu tenha gerado um sal aleatório assim 1adef56ghdfr43256yb
. Quando eu gerar o código MD5 do 12345678, vamos ter aquele nosso conhecido aí de cima. Aí eu pego o nosso conhecido, junto com o sal e... gero o MD5 de novo!
Olha o resultado: 7fb7daece2240e3ab134d6d4f9fe29fd
. E se eu fizer isso mais uma vez, obtenho: 1d2e962f721cee69fb3bca0d5ce9394b
. Posso fazer isso quantas vezes quiser, desde que eu repita o procedimento no momento que o usuário tentar se autenticar no site.
Algumas observações importantes:
O sal deve ser diferente para cada usuário. Se for o mesmo sal para todos os usuários, o código gerado será o mesmo e aí basta o hacker achar um mané com senha 12345678 que ele (ou ela) acha os demais;
O sal precisa ser guardado no banco de dados. Nada impede que seja em tabelas diferentes, desde que não degrade a performance;
Cada vez que o usuário mudar a senha, mude também o sal. É uma garantia a mais;
Bom, mesmo com sal o melhor é não abusar para evitar os males do sal, você poderia, por exemplo, usar outros algoritmos de hash, como SHA1 ou SHA2 combinados com sal. Há também a possibilidade de criptografar a senha direto no banco de dados, mas isso normalmente não é uma opção (principalmente em hosts compartilhados). Então, já que o jeito é guardar senha e mantê-la no banco, aqui vão os pontos finais. Se você fizer isto, a chance de acontecer alguma coisa vai diminuir bastante e o seu site ficará mais seguro para além do logon:
Register_globals em PHP é o capeta, o tinhoso. Simples assim. Como funciona? Vamos supor que o seu formulário tenha um campo com nome... nome (desculpe, minha criatividade acabou lá em cima). Com o register_globals desativado, para ler o conteúdo desse campo do formulário, você usa $_GET['nome']
ou $_POST['nome']
. Agora se o register_globals estiver on, o motor PHP "magicamente" vai criar uma variável chamada... $nome! Dá para fazer coisas muito feias em sites com o register_globals ativado. O padrão no PHP 5 é off, mas tem sysop que tem que reativá-lo por conta de sites manés que ainda usam esse recurso. Se o seu sysop estiver de bom humor, ele vai deixar que você configure o register_globals da sua aplicação no arquivo .htaccess localizado no diretório raiz do seu site (isso foge um pouco do escopo do stackoverflow, mas procure nos sites do grupo stackexchange que você acha).
Quando for realizar consultas no BD sempre utilize métodos e rotinas que suportem parâmetros ligados (bound parameters). Se você for de PDO (recomendo), seria algo mais ou menos assim:
$banco = new PDO(...);
$comando = $banco->prepare("SELECT ID, NOME FROM USUARIOS WHERE LOGIN = :login AND SENHA = :senha");
// Vamos considerar que você já pegou o sal daquele usuário e já aplicou os esquemas.
// Dá para fazer dentro do banco, se você preferir. É até melhor...
$comando->execute(array(':login' => $login, ':senha' => $senha_com_sal));
if ($comando->fetch()) { // Usuário logado!
} else { // Usuário incorreto ou a senha está incorreta!
}
Por que esta abordagem é melhor do que simplesmente concatenar a senha e por as aspas simples? Para o hacker, a concatenação permite um tipo de ataque chamado "SQL Injection". Normalmente ele faz de um jeito que ele coloca certos caracteres dentro de um dos campos (o do nome por exemplo) e aí ele consegue transformar um inocente SELECT que deveria trazer 0 ou 1 linha, em um poderoso SELECT que traz todas as linhas da tabela. Dependendo da experiência do hacker (e da inexperiência do programador), ele pode até usar insert's e update's e detonar o site, ou abri-lo totalmente. Procure por SQL Injection attacks na Internet e se prepare para as cenas de horror!
Uma observação: esse sistema de bound parameters também funciona com mysqli e similares. Pesquise na documentação. Vale muuuito a pena.
Como disse anteriormente, muita gente (muita mesmo) usa senhas como 12345678
, superman
, etc. para os mais diversos fins. A melhor forma de evitar ataques (ou deixá-los ainda mais difíceis) é forçar que o usuário digite senhas com o mínimo de segurança. Estabeleça regras para a criação de senhas por parte dos usuários. Algumas regras simples, mas que podem fazer toda a diferença:
1. A senha deve ter, no mínimo, 8 caracteres;
2. A senha deve ter, pelo menos, 2 caracteres alfabéticos (a-z);
3. A senha deve ter, pelo menos, 2 caracteres numéricos (0-9);
4. A senha deve ter, pelo menos, 2 caracteres alfabéticos maiúsculos (A-Z);
5. A senha deve ter, pelo menos, 1 caractere especial, como $&@#!% etc.
e por aí vai.
Muitas dessas dicas eu peguei da minha experiência e também deste vídeo (em inglês): http://youtu.be/8ZtInClXe1Q
Boa sorte e nos conte como foi.
md5($salt.md5($pass))
parece ser suportado em modo 3710. E supostamente as pessoas podem pedir-lhes para acrescentarem novos formatos.
Commented
15/02/2014 às 23:06
Com mais e mais relatos de atividades hackers nos noticiários, desenvolvedores estão buscando as melhores alternativas de garantir uma maior segurança em seus sites. Se o seu site possui um sistema de membros, este poderá estar em riscos como por exemplo ser hackeado e ter as informações de seus usuários comprometidas. Este guia lhe apresentará as melhores formas de criar o seu sistema de usuários e login da forma mais segura possível. Seguindo este guia, você poderá aprender a se prevenir contra vários tipos de ataques que hackers podem utilizar para ganhar o controle da conta de outros usuários, deletar contas e/ou modificar dados.
Materiais Necessários
Como estaremos utilizando o conjunto de classes PHP myqli_* para acessar nosso banco de dados mySQL, você precisará das seguintes versões do PHP e do mySQL: PHP versão 5 ou superior MySQL versão 4.1.3 ou superior Para verificar a versão do PHP e do mySQL em seu servidor, utilize a função phpinfo();.
Configure o Seu Servidor
Instale o PHP e o MySQL em seu servidor. A maioria dos webhosts possuirão php e mySQL já instalados, portanto você apenas precisará verificar se eles estão com as versões mais atuais de cada um para que este guia funcione.
Configure a Base de Dados MySQL
1 Crie uma base de dados MySQL. Neste guia, você irá criar uma base de dados chamada "secure_login" (login seguro). Você poderá fazê-lo através do Phpmyadmin ou utilizar o comando SQL a seguir para criá-la para você.
Código para criação da base de dados:
CREATE DATABASE `secure_login`;
Nota: Alguns serviços de hosts não permitem que você crie bases de dados pelo phpMyAdmin, em casos onde você precisará utilizar o cPanel.
2 Crie um usuário com privilégios apenas de SELECT (seleção), UPDATE (atualização) e INSERT (inserção).
Isto significa que se alguma vez houver uma violação de segurança em seu script, o hacker não poderá deletar ou extrair qualquer coisa de nosso banco de dados. Utilizando este usuário, você pode fazer praticamente tudo o que quiser em seu aplicativo. Se você estiver realmente paranóico, crie um usuário diferente para cada função.
Código para criação do usuário:
CREATE USER 'sec_user'@'localhost' IDENTIFIED BY 'eKcGZr59zAa2BEWU';
GRANT SELECT, INSERT, UPDATE ON `secure_login`.* TO 'sec_user'@'localhost';
Obs: É uma boa ideia modificar a senha do usuário no código acima quando for executá-lo em seu próprio servidor. (Certifique-se de modificar o seu código PHP também.) Lembre-se que não precisa ser uma senha que você possa lembrar, portanto faça-a o mais complicada possível.
3 Crie uma tabela MySQL chamada "members" (membros).
O código a seguir cria uma tabela com 5 campos (id, username, email, password, salt).
Crie a tabela "members:
CREATE TABLE `secure_login`.`members` (
`id` INT NOT NULL AUTO_INCREMENT PRIMARY KEY,
`username` VARCHAR(30) NOT NULL,
`email` VARCHAR(50) NOT NULL,
`password` CHAR(128) NOT NULL,
`salt` CHAR(128) NOT NULL
) ENGINE = InnoDB;
Nós utilizamos o tipo de dado CHAR para campos os quais nós sabemos o tamanho (quantidade de caracteres), tais como os campos de senha (password) e "salt" que sempre terão o comprimento de 128 caracteres. Utilizando o CHAR aqui, você estará economizando processamento.
4 Crie uma tabela para armazenar as tentativas de login.
Utilizaremos esta tabela para armazenar as tentativas de login de um usuário. É desta forma que impediremos tentativas de ataque com brute force ou força bruta.
Crie a tabela "login_attempts":
CREATE TABLE `secure_login`.`login_attempts` (
`user_id` int(11) NOT NULL,
`time` VARCHAR(30) NOT NULL
) ENGINE=InnoDB
5 Crie uma linha de teste na tabela "members".
Como não estamos criando uma página de cadastros, será importante que você seja capaz de testar seu script de login. Abaixo está o script para criar um usuário com estes detalhes:
Adicione o usuário de teste:
INSERT INTO `secure_login`.`members` VALUES(1, 'test_user', '[email protected]', '00807432eae173f652f2064bdca1b61b290b52d40e429a7d295d76a71084aa96c0233b82f1feac45529e0726559645acaed6f3ae58a286b9f075916ebf66cacc', 'f9aab579fc1b41ed0c44fe4ecdbfcdb4cb99b9023abb241a6db833288f4eea3c02f76e0d35204a8695077dcf81932aa59006423976224be0390395bae152d4ef');
Crie uma Página de Conexão com a Base de Dados
1 Crie uma página de conexão com a base de dados.
Este é o código php que utilizaremos para nos conectar ao banco de dados MySQL. Crie um novo arquivo php chamado "db_connect.php" e adicione o código a seguir. Você poderá, em seguida, incluir o arquivo em qualquer página que se deseje conectar com a base de dados.
Conexão com a base de dados (db_connect.php):
define("HOST", "localhost"); // O host no qual você deseja se conectar.
define("USER", "sec_user"); // O nome de usuário do banco de dados.
define("PASSWORD", "eKcGZr59zAa2BEWU"); // A senha do usuário do banco de dados.
define("DATABASE", "secure_login"); // O nome do banco de dados.
$mysqli = new mysqli(HOST, USER, PASSWORD, DATABASE);
// Se você estiver se conectando via TCP/IP ao invés de um socket UNIX, lembre-se de adicionar o número da porta como um parâmetro.
Crie Funções PHP
Estas funções irão fazer todo o processamento do script de login. Adicione todas as funções em uma página chamada "functions.php".
1 Inicie uma sessão PHP segura.
É importante não colocar apenas "session_start()"; no topo de todas as páginas nas quais você desejar utilizar sessões php, se você realmente estiver preocupado com a segurança, é desta forma que você deverá fazer. Você criará uma função chamada "sec_session_start", a qual irá iniciar uma sessão php de forma segura. Você deveria chamar esta função no topo de cada página a partir da qual você deseje acessar uma variável de sessão php.
Função de Início de Sessão Segura:
function sec_session_start() {
$session_name = 'sec_session_id'; // Define um nome padrão de sessão
$secure = false; // Defina como true (verdadeiro) caso esteja utilizando https.
$httponly = true; // Isto impede que o javascript seja capaz de acessar a id de sessão.
ini_set('session.use_only_cookies', 1); // Força as sessões a apenas utilizarem cookies.
$cookieParams = session_get_cookie_params(); // Recebe os parâmetros atuais dos cookies.
session_set_cookie_params($cookieParams["lifetime"], $cookieParams["path"], $cookieParams["domain"], $secure, $httponly);
session_name($session_name); // Define o nome da sessão como sendo o acima definido.
session_start(); // Inicia a sessão php.
session_regenerate_id(true); // regenerada a sessão, deleta a outra.
}
Esta função torna o seu script de login muito mais seguro. Impede que hackers sejam capazes de acessar o cookie de id de sessão através de javascript (por exemplo, em um ataque XSS). Também utiliza a função "session_regenerate_id()", a qual gera novamente o id de sessão a cada atualização da página, ajudando a prevenir um ataque de hijack na sessão. Obs: Se você estiver utilizando https em sua aplicação de login, defina a variável "$secure" para "true".
2 Crie uma função de login.
Esta função irá checar o email e a senha na base de dados e retornará um valor "true" (verdadeiro) caso ambos estejam corretos e combinando.
Função de Login Seguro:
function login($email, $password, $mysqli) {
// utilizar declarações preparadas significa que a injeção de código SQL não será possível.
if ($stmt = $mysqli->prepare("SELECT id, username, password, salt FROM members WHERE email = ? LIMIT 1")) {
$stmt->bind_param('s', $email); // Vincula "$email" ao parâmetro.
$stmt->execute(); // Executa a query preparada.
$stmt->store_result();
$stmt->bind_result($user_id, $username, $db_password, $salt); // obtém variáveis do resultado.
$stmt->fetch();
$password = hash('sha512', $password.$salt); // confere o hash de "$password" e "$salt"
if($stmt->num_rows == 1) { // se o usuário existe
// Nós checamos se a conta está bloqueada devido a várias tentativas de login
if(checkbrute($user_id, $mysqli) == true) {
// Conta está bloqueada
// Envia um email ao usuário comunicando que sua conta foi bloqueada
return false;
} else {
if($db_password == $password) { // Checa se a senha na base de dados confere com a senha que o usuário digitou.
// Senha está correta!
$ip_address = $_SERVER['REMOTE_ADDR']; // Pega o endereço IP do usuário.
$user_browser = $_SERVER['HTTP_USER_AGENT']; // Pega a string de agente do usuário.
$user_id = preg_replace("/[^0-9]+/", "", $user_id); // Proteção XSS conforme poderíamos imprimir este valor
$_SESSION['user_id'] = $user_id;
$username = preg_replace("/[^a-zA-Z0-9_\-]+/", "", $username); // Proteção XSS conforme poderíamos imprimir este valor
$_SESSION['username'] = $username;
$_SESSION['login_string'] = hash('sha512', $password.$ip_address.$user_browser);
// Login com sucesso.
return true;
} else {
// Senha não está correta
// Nós armazenamos esta tentativa na base de dados
$now = time();
$mysqli->query("INSERT INTO login_attempts (user_id, time) VALUES ('$user_id', '$now')");
return false;
}
}
} else {
// Nenhum usuário existe.
return false;
}
}
}
3 Função Brute Force.
Ataques de brute force ou força bruta acontecem quando hackers tentam milhares de diferentes senhas em uma conta, seja de forma randômica através de senhas aleatórias ou através de um dicionário de palavras. Em nosso script, se um usuário falhar em sua tentativa de login por mais de 5 vezes, sua conta será bloqueada.
Crie a função login_check:
function checkbrute($user_id, $mysqli) {
// Retorna a data atual
$now = time();
// Todas as tentativas de login são contadas pelas 2 últimas horas.
$valid_attempts = $now - (2 * 60 * 60);
if ($stmt = $mysqli->prepare("SELECT time FROM login_attempts WHERE user_id = ? AND time > '$valid_attempts'")) {
$stmt->bind_param('i', $user_id);
// Executa a query preparada.
$stmt->execute();
$stmt->store_result();
// Se houver mais de 5 tentativas falhas de login
if($stmt->num_rows > 5) {
return true;
} else {
return false;
}
}
}
Ataques de brute force ou força bruta são difíceis de prevenir. Algumas formas de prevenção que podemos utilizar são a utilização de testes CAPTCHA, bloqueio de contas de usuários e adicionando um delay ou intervalo de tempo para tentativas falhas de login, de forma que o usuário não pode tentar logar novamente pelos próximos 30 segundos.
Quando confrontados com este problema, a maioria dos desenvolvedores simplesmente bloqueiam o endereço IP após uma certa quantidade de logins falhos. Com várias ferramentas para automatizar o processo, estas ferramentas podem passar por uma série de proxys e até mesmo modificar seu IP em cada requisição. Bloquear todos estes endereços IPs pode significar que você está bloqueando também IPs de usuários legítimos.
4 Cheque o status de login.
Isto é feito checando-se as variáveis de sessão "user_id" e "login_string". A variável de sessão "login_string" possui as informações de endereço IP e navegador em forma de hash juntamente com a senha. Utilizamos o endereço IP e a informação do navegador pois é muito improvável que o usuário altere o endereço IP ou o navegador durante sua sessão. Fazendo isto, você impede um ataque de hijack na sessão (sequestro de sessão, literalmente).
Crie a função login_check:
function login_check($mysqli) {
// Verifica se todas as variáveis das sessões foram definidas
if(isset($_SESSION['user_id'], $_SESSION['username'], $_SESSION['login_string'])) {
$user_id = $_SESSION['user_id'];
$login_string = $_SESSION['login_string'];
$username = $_SESSION['username'];
$ip_address = $_SERVER['REMOTE_ADDR']; // Pega o endereço IP do usuário
$user_browser = $_SERVER['HTTP_USER_AGENT']; // Pega a string do usuário.
if ($stmt = $mysqli->prepare("SELECT password FROM members WHERE id = ? LIMIT 1")) {
$stmt->bind_param('i', $user_id); // Atribui "$user_id" ao parâmetro
$stmt->execute(); // Executa a tarefa atribuía
$stmt->store_result();
if($stmt->num_rows == 1) { // Caso o usuário exista
$stmt->bind_result($password); // pega variáveis a partir do resultado
$stmt->fetch();
$login_check = hash('sha512', $password.$ip_address.$user_browser);
if($login_check == $login_string) {
// Logado!!!
return true;
} else {
// Não foi logado
return false;
}
} else {
// Não foi logado
return false;
}
} else {
// Não foi logado
return false;
}
} else {
// Não foi logado
return false;
}
}
Criando Páginas de Processamento
1 *Crie a página de processamento do login (process_login.php).*
Seguindo nosso exemplo anterior, este deveria se chamar process_login.php. Utilizaremos o conjunto de funções PHP mysqli_* por ser a extensão mais atual do mysql.
Página de processamento de login (process_login.php)
include 'db_connect.php';
include 'functions.php';
sec_session_start(); // Nossa segurança personalizada para iniciar uma sessão php.
if(isset($_POST['email'], $_POST['p'])) {
$email = $_POST['email'];
$password = $_POST['p']; // A senha em hash.
if(login($email, $password, $mysqli) == true) {
// Login com sucesso
echo 'Sucesso: Você efetuou login.';
} else {
// Falha de login
header('Lozalização: ./login.php?error=1');
}
} else {
// As variáveis POST corretas não foram enviadas para esta página.
echo 'Requisição Inválida';
}
2 Crie um script de logout.
Seu script de logout deve iniciar a sessão, destruí-la e em seguida redirecionar o usuário para alguma outra página.
Script de Logout (logout.php):
include 'functions.php';
sec_session_start();
// Zera todos os valores da sessão
$_SESSION = array();
// Pega os parâmetros da sessão
$params = session_get_cookie_params();
// Deleta o cookie atual.
setcookie(session_name(), '', time() - 42000, $params["path"], $params["domain"], $params["secure"], $params["httponly"]);
// Destrói a sessão
session_destroy();
header('Lozalização: ./');
Note: Pode ser uma boa ideia adicionar proteção CSFR aqui para o caso de alguém enviar um link com esta página de alguma forma. O usuário será deslogado.
3 Página de registro.
Para criar o hash de senha, você precisará utilizar o seguinte código:
Script de Hash:
// A senha em hash do formulário
$password = $_POST['p'];
// Cria um salt randômico
$random_salt = hash('sha512', uniqid(mt_rand(1, mt_getrandmax()), true));
// Cria uma senha pós hash (Cuidado para não re-escrever)
$password = hash('sha512', $password.$random_salt);
// Adicione sua inserção ao script de base de dados aqui
// Certifique-se de utilizar declarações preparadas
if ($insert_stmt = $mysqli->prepare("INSERT INTO members (username, email, password, salt) VALUES (?, ?, ?, ?)")) {
$insert_stmt->bind_param('ssss', $username, $email, $password, $random_salt);
// Execute a query preparada.
$insert_stmt->execute();
}
Certifique-se de que o valor de $_POST['p'] já esteja em hash a partir do javascript. Caso não esteja utilizando este método por desejar validar a senha no lado do servidor, certifique-se de utilizar hash.
Crie Arquivos JavaScript
1 Crie um arquivo sha512.js.
Este arquivo é uma implementação em javascript do algoritmo de hashing sha512. Nós utilizaremos a função de hashing para que nossas senhas não sejam enviadas em texto pĺano. O arquivo pode ser baixado a partir de http://pajhome.org.uk/crypt/md5/sha512.html
2 Crie o arquivo forms.js.
Este arquivo lidará com o hash das senhas para qualquer formulário.
Arquivo de Formulário JavaScript (forms.js):
function formhash(form, password) {
// Cria um novo elemento de entrada, como um campo de entrada de senha sem hash.
var p = document.createElement("input");
// Adiciona o novo elemento ao nosso formulário.
form.appendChild(p);
p.name = "p";
p.type = "hidden"
p.value = hex_sha512(password.value);
// Certifica que senhas em texto plano não sejam enviadas.
password.value = "";
// Finalmente, submete o formulário.
form.submit();
}
Crie Páginas HTML
1 Crie o formulário de login (login.php).
Este é um formulário HTML com dois campos de texto, chamados "email" e "password". O JavaScript irá em seguida gerar o hash da senha e enviar o "email" e "p" (o hash da senha) para o servidor.
Quando estiver logando, é melhor utilizar algo não público. Para este guia, nós estamos utilizando o email como login; o nome de usuário pode ser utilizado posteriormente para identificar o usuário. Caso o email esteja oculto, será adicionada uma nova variável para tentativas de hackear contas.
Formulário de Login HTML:
<script type="text/javascript" src="sha512.js"></script>
<script type="text/javascript" src="forms.js"></script>
<?php
if(isset($_GET['error'])) {
echo 'Erro ao Logar!';
}
?>
<form action="process_login.php" method="post" name="login_form">
Email: <input type="text" name="email" /><br />
Password: <input type="password" name="password" id="password"/><br />
<input type="button" value="Login" onclick="formhash(this.form, this.form.password);" />
</form>
Obs: Mesmo que tenhamos encriptado a senha para que esta não seja enviada em texto plano, é recomendado que você utilize o protocolo https (TLS/SSL) quando estiver enviando senhas.
Protegendo Páginas
1 Script de Proteção de Páginas.
Um dos problemas mais comuns com sistemas de autenticação é o fato de o desenvolvedor esquecer de checar se o usuário está logado. É muito importante que você utilize o código abaixo para checar se o usuário está logado. Proteção de páginas:
// Inclua a conexão com a base de dados e as funções aqui.
sec_session_start();
if(login_check($mysqli) == true) {
// Adicione o conteúdo de sua página protegida aqui.
} else {
echo 'Você não está autorizado a acessar esta página. Por favor, efetue login. <br/>';
}
FIM ;)
Fonte: http://www.wikihow.com/Create-a-Secure-Login-Script-in-PHP-and-MySQL
Pergunta: Qual o melhor jeito de fazer um sistema de login em senha com PHP?
Resposta: Não existe "o melhor jeito". Existem várias soluções de qualidade, cada qual sendo a melhor dentro de um contexto específico.
Quando o assunto é autenticação de usuários, "seguro" e "simples" dificilmente irão fazer sentido. A forma de ter menos trabalho nesse caso, sem sacrificar a segurança do sistema, é utilizar um framework que já implemente isso pra você. O Symfony2 fornece uma biblioteca de autenticação que pode ser usada de forma standalone, vide docs.
A minha resposta presume que o seu interesse seja a de criar um sistema que em algum momento entrará em produção; caso o seu interesse seja educacional você pode usar um algoritmo de hashing simples e guardar as combinações de nome e senha num banco de dados local e em seguida pesquisar mais a fundo tópicos como hashing, salting, etc.
No PHP use Argon2id, isso está disponível no PHP 7.2:
$hash_str = sodium_crypto_pwhash_str($password,
SODIUM_CRYPTO_PWHASH_OPSLIMIT_INTERACTIVE,
SODIUM_CRYPTO_PWHASH_MEMLIMIT_INTERACTIVE
);
Depois use o sodium_crypto_pwhash_str_verify($hash_str, $password)
.
Você também pode usar o Argon2i:
$hash_str = password_hash($password , PASSWORD_ARGON2I, [
'memory_cost' => PASSWORD_ARGON2_DEFAULT_MEMORY_COST,
'time_cost' => PASSWORD_ARGON2_DEFAULT_TIME_COST,
'threads' => PASSWORD_ARGON2_DEFAULT_THREADS
]);
Depois use o password_verify($password, $hash_str)
.
Se estiver em uma versão do PHP obsoleta, então segurança não parece ser sua prioridade. Se ainda estiver usando uma versão "suportada", mas não tem Argon2, use o BCrypt: password_hash($password , PASSWORD_BCRYPT, ['cost' => 13]);
. Se nem BCrypt está disponível, então use o PBKDF2.
Utilizar rand()
, mt_rand()
ou uniqid()
e até time()
...
Todos esses são bons para gerar dados únicos, até certo ponto. O Spotify utiliza mt_rand()
para escolher uma ordem aleatória das musicas, para esse propósito ele é bom, ele é rápido. Um jogo pode utilizar ele para criar os efeitos de fumaça, ok. Agora, para senhas ele não precisa ser apenas único. Ele precisa ser único, impressível (para o atacante) e ainda ter uma distribuição de resultados iguais. Logo, um atacante não consegue prever o próximo valor e recuperar valores gerados anteriormente. Dependendo do gerador, nem mesmo atacando a pool de entropia, consumido para re-seed, conseguirá saber os bytes gerados, por que não sabe o estado atual.
O mt_rand()
vai repetir todos os valores, na mesma ordem, após X números gerados. Além disso, com um amostra de ~700 números gerados você consegue prever todos os próximo.
A pérola máxima é utilizar time()
, olhe para o seu relógio e você sabe o valor, de fato ele é único (ele é unixtime), mas é claramente previsível. Na verdade, ele não é único, se atacarem o servidor NTP que você provavelmente usa para sincronizar a data-hora você voltará no tempo.
Utilize random_bytes
ou simplesmente leia o /dev/urandom
, se for o caso. Esses dois são CSPRNG e devem ser utilizados para esses propósitos.
Utilizar SHA-2
, SHA-1
, MD5
, SHA-3
....
Isso foi feito para proposito geral, não para senhas. As senhas são entradas escolhidas por seres humanos e somos incompetentes para escolher senhas boas. Nós não conseguimos lembrar de senhas extremamente complexas, muitos apelam para lembranças ou dados pessoais. Isso torna vulnerável a ataques pre-computados ou ataques de dicionário.
As melhores escolhas que você tem é o BCrypt e o Argon2i, ambos estão disponíveis no PHP 7.2. Enquanto BCrypt e o PBKDF2 estão disponíveis desde PHP 5.5. Todas essas são de derivação de chaves (KDF) ou também chamam de Password Hashing, isso difere das hashes de uso geral, como SHA-2.
No Argon2i a dificuldade, que é personalizável. Isso envolve o maior uso de memoria, o maior uso de processamento em paralelo e ainda o número de rounds, de iterações necessárias para uma única senha. Quanto maior a dificuldade maior será o tempo para fazer o hashing de uma única string. O BCrypt tem recursos similares, mas não sendo possível aumentar individualmente. Já o PBKDF2 possui apenas a quantidade de iterações (que basicamente é N * HMAC()
, a muito grosso modo), este é o pior dos melhores métodos que pode usar.
Utilizar o salt
e acreditar que ele é a salvação.
O salt
não é milagroso. Nele NÃO ATRASA uma ataque de busca exaustiva. Se você tem HASH(x)
e HASH(x + y)
a diferença de tempo para computar os dois é extremamente desprezível, se o y
for poucos bytes ele será igual. Além disso se fizer HASH(salt + senha)
o atacante pode ignorar o salt
por completo, se ele for do mesmo tamanho (ou maior) que o bloco da hash.
O salt
foi feito unicamente para que duas senhas sejam diferentes entre si e só. Se você tem uma função HASH(string, salt)
, e então faz BCRYPT(x, y)
e BCRYPT(x, z)
o resultado para um mesmo x
será diferente, porque os salts (y
e z
) são diferentes. Isso previne que um atacante quebre várias senhas ao mesmo tempo, apenas.
O custo contra brute-force é muito mais complexo, vem desde uso de memoria, paralelismo, capacidade de pre-computação e até o número de alvos. Isso é que é feito no uso do Argon2, BCrypt e até razoavelmente no PBKDF2. Essas funções não são boas porque usam salt, o salt é feito para um proposito diferente de aumentar do que para aumentar a dificuldade.
Utilizar ==
e ===
.
Isso é vulnerável a timming-attack. Isso vale para todas as linguagens, praticamente. A maior parte das linguagens utiliza o memcmp()
ou características similares, o que faz ser rápido, mas não é seguro.
Mas, não somente, o PHP tem uma característica de ter tipagem dinâmica e isso trás vários efeitos inesperados para alguns. Em geral, nunca utilize ==
, ou você pode ver algo como sha1('aaroZmOk') == sha1('aaK1STfY')
retornar true
. Isso não é uma colisão do SHA-1, isso é apenas porque ambas começam com 0e
e o ==
faz o trabalho de converter e então se tornar válido, o que não ocorre com ===
.
O PHP possui o hash_equals()
, apesar do nome ele pode ser utilizado para qualquer proposito, ou seja hash_equals('a', 'a')
funciona. Apesar do prefixo hash_
as strings envolvidas não tem que ser uma hash criptográfica.
password_hash
, depois eu edito o resto. :S
password_hash
epassword_verify
, entre outros problemas. Há soluções que eram válidas na época da postagem, mas que atualmente não devem ser aplicadas da forma em que se encontram.