6

Estou trabalhando em um sistema de login com php e mysql e essa dúvida surgiu, pois não sei se apenas isso pode ser considerado algo "aceitável" como mais uma ferramenta de segurança no processo de login.

Bem dizer a ideia é limitar o número de tentativas em n vezes dentro de um intervalo x de tempo. Exemplo: Máximo de 5 tentativas a cada 10 minutos.

No momento minha tabela de login é simples, possuindo apenas email e senha.

A ideia é expandir para ter mais 2 colunas, uma para quantidade de tentativas e outra para o horário em que foi feito a última tentativa, ficando assim:

email | senha | tentativa | ultima_tentativa

Onde a cada login eu verifico os 2 critérios

$horario   = date("Y-m-d h:i:s");
$tempo1    = new Datetime($ultima_tentativa);
$tempo2    = new Datetime($horario);
$intervalo = date_diff($tempo1, $tempo2);

if($tentativa < 5 && $intervalo->format('%i') < 10) {
    //Processa o login....
    //Se o login for efetuado com sucesso, o contador é zerado
}

A outra alternativa (que fiz a estrutura de código ainda) seria semelhante, porém o tempo para a próxima tentativa seria múltiplo progressivo, ou seja, a cada tentativa o intervalo de tempo dobra. Exemplo:

  • Tentativa 1 em 30s;
  • Tentativa 2 em 1 min;
  • Tentativa 3 em 2 min;
  • Tentativa 4 em 4 min;
  • Tentativa 5 em 8 min;
  • e assim por diante

Sei que não é o foco da comunidade, mas gostaria de levar em consideração o lado UX do login também, ou seja, não posso deixar o usuário esperando muito tempo em poucas tentativas (2 ou 3), porém também não pode ter um intervalo muito alto.

Os métodos apresentados podem ser considerados ideais? Qual deles seria mais indicado?

Existe algum outro método que eu possa implementar para melhorar a segurança do processo de login considerando esse cenário?

3
  • Dá uma olhada aqui na função checkbrute($user_id, $mysqli): wikihow.com/Create-a-Secure-Login-Script-in-PHP-and-MySQL 5/06/2016 às 20:09
  • @EduardoAlmeida se entendi bem, é uma função a parte/diferente do que a ideia que propus na questão, certo? 5/06/2016 às 20:56
  • Na verdade, não! A função está separada só por questão de organização. O que ela faz é checar os detalhes de tentativas de login na página de login. Ela só conta as tentativas num intervalo determinado, todo o resto é determinado pela função de login, inclusive a inclusão das tentativas falhas na tabela de log de tentativas. 5/06/2016 às 22:19

1 Resposta 1

5

Acho que seria interessante avaliar se no seu caso seria interessante implementar recursos para evitar acessos não humanos, ou seja de robôs, como por exemplo:

  • CAPTCHA: Este recurso pode ser implementado logo na primeira tentativa, ou após um dado número de tentativas incorretas (particularmente, não mostro o captcha logo de primeira, apenas após 3 ou 4 tentativas incorretas).

  • Verificação de quantidade de tentativas não humanas, exemplo: 2 tentativas em menos de 3 segundos seria praticamente impossível para um usuário real. Neste caso, pode ser viável um bloqueio do IP direto no firewall, no meu caso, uso bloqueio por determinado período de tempo (exemplo: 8 horas - este tempo vai variar a depender da realidade do projeto a ser implantado).

  • Forçar acesso via HTTPS: o ideal, em minha opinião, é rodar todo o sistema sobre HTTPS (com certificado SSL válido). Mas a parte de LOGIN, DEVE ser com HTTPS sempre, caso contrário, fica muito vulnerável.

  • Criptografar as senhas com um bom HASH.

  • Definir e implantar uma política de senhas adequada, pois se você cuidar de tudo acima e o usuário colocar senhas como: em branco, igual ao login ou as tipicas '123', '123456', etc., o que não é raro, jogará por terra todo o seu trabalho.

  • Tratar as entradas de dados para evitar ataques como: SQL INJECTION e Cross-site scripting (XSS), etc.

Em minha opinião, a grande sacada é encontrar o equilíbrio entre segurança e viabilidade de uso, pois não adianta deixar seguro demais e inviável para o usuário, ou prático demais para o usuário, mas inseguro.

2
  • HTTPS e Hash eu já estou usando. Política de senhas eu uso em parte, pois não quero que o usuário fique muito limitado nesse quesito (tento um balanço entre segurança e UX). O Captcha é algo que tento evitar por ser 'chato' (de novo, do ponto de vista de ux) mas não é algo completamente descartado. Por isso a questão de número de tentativas, para tentar "substituir" o Captcha. Já a parte de verificação de tentativa não humana, vou explorar mais. E o que seria exatamente o 'tratamento de entradas' ? 6/06/2016 às 11:32
  • Filtrar os dados postados no formulário para evitar sql injection e xss. 6/06/2016 às 12:34

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .