33

Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name e session.hash_function, mas mesmo assim um cookie com um ID é fácil de ser encontrado.

Por exemplo, se eu criar uma session['nome'] = Fulano de tal para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.

Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0 mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.

Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0 para não fazer uso de cookies por sessão, e usar session_save_path, para gerenciar as sessões de usuário, para poder implementar mais verificações.


  • Há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

  • Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

17
  • 1
    Já pensou em comparar o IP remoto e o user agent, e em caso de inconsistência, destruir a session? 13/10/2014 às 10:30
  • 1
    +1 Muito boa pergunta.
    – Jorge B.
    13/10/2014 às 10:32
  • 2
    @Jader, bem interessante, $_SERVER tem algumas variáveis não confiáveis. O próprio IP não é 100%. user agent até poderia servir como um SALT. 13/10/2014 às 10:39
  • 2
  • 1
    @Papacharlie é um trabalho para o qual fui contratado... Mas estou disponível se você precisar de alguma ajuda com alguma orientação com o seu codigo numa solução pois apesar da implementação a monitorização é uma constante... Pelo que temos de ter sempre os nossos conhecimentos updated... Cumprimentos
    – chambelix
    15/10/2014 às 7:50

2 Respostas 2

15

Há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

Sim, é possível se trabalhar sem alocar o id da sua sessão em um cookie. Porém, devido o HTTP ser stateless (cada requisição ser independente da outra), essa id deve ser repassada de alguma forma, e essa segunda maneira seria via a URL.

Extraído da documentação do php:

Um visitante acessando o seu web site ganha um identificador único, o assim chamado id de sessão. Este é salvo em um cookie do lado do usuário ou propagado via URL.

Essa configuração é possível a partir da configuração do session.cookie_httponly


Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

Basicamente sim. O que você pode fazer para minimizar esse risco de sequestro da session é tomar algumas ações no lado do servidor para inviabilizar o uso não autorizado desse cookie.

Algumas ações como regenerar o id da sessão com session_regenerate_id ou solicitar uma nova autenticação tornam o sequestro do cookie simplesmente inviáveis.

Alguns artigos (em inglês) que podem auxiliar na implementação da segurança da sua aplicação

Preventing Session Hijacking when using PHP

Stopping Session Hijacking

Cookie Theft/Session Hijacking

3
  • 1
    Aqui tem duas respostas que podem complementar sua resposta: pt.stackoverflow.com/questions/3571/… e pt.stackoverflow.com/questions/33664/…
    – KaduAmaral
    13/10/2014 às 11:22
  • É estranho as sessions serem recomendadas para dados sensíveis, e depender do cookie para gerenciar o ID. O PHP poderia usar o mecanismo para identificar a sessão no cookie e/ou no path usando session_save_path. 13/10/2014 às 11:28
  • 1
    @PapaCharlie acredito que esse comportamento esteja mais ligado a natureza do HTTP em não permitir guardar o estado entre as requisições. No .net temos o mesmo comportamento que o php, armazenando o id da sessão em cookies.
    – gmsantos
    13/10/2014 às 11:40
11

Me parece que você está buscando algo impossível. Antes de responder à sua pergunta, deixe-me fazer uma outra pergunta semelhante:

Quando se registra em um site se cria um nome de usuário e senha. Sabendo-se que para prevenir o roubo da conta é melhor não compartilhar sua senha com outros usuários, então o campo password se torna um ponto de partida para um ataque. Se Alice cria uma senha, teoricamente somente ela terá acesso à sua conta, o problema é se Bob fizer login com o username e password de Alice. Senhas são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada (keylogger, por exemplo).

Há alguma forma de se gerenciar contas de usuários sem a necessidade do uso de senhas?

Colocado dessa forma, fica evidente (espero!) que não há muito o que fazer... Espera-se da aplicação que use senhas corretamente (use SSL, não as envie por GET, limpe-as após o uso), espera-se do browser que as manipule corretamente (não as salve em arquivo, esconda os caracteres digitados num campo password) e espera-se que o computador/dispositivo esteja livre de infecções (não possua um keylogger, não intercepte a senha no browser antes mesmo dela ser criptografada, etc). E é claro, espera-se que o usuário não compartilhe sua senha com terceiros.

Esses riscos sempre estarão presentes ao se utilizar senhas. Você até pode optar por não usá-las, mas aí você teria que arcar com os custos de não fazê-lo (ex.: usar um módulo de hardware para autenticar usuários - que pode ser roubado - usar um gerador de códigos HOTP/TOTP - idem - usar um certificado digital no lado cliente - ibidem) - sendo o principal deles a inconveniência aos usuários. Essa opção deve se pautar numa análise de custo-benefício, não numa busca por eliminar riscos a qualquer custo (por que então não exigir que os usuários se desloquem fisicamente até sua empresa para usar seu sistema, sob suas vistas?).

Um cookie - em especial um que seja HttpOnly (i.e. inacessível via JavaScript) além é claro de Secure (só é transmitido via HTTPS) - é a maneira mais segura e conveniente que uma aplicação web comum possui para reautenticar o usuário (i.e. saber que a requisição Y foi enviada pelo mesmo usuário que antes lhe enviou a requisição X - esta contendo seu nome de usuário e senha). Pode-se é claro variar um pouco o tradeoff citado, por exemplo:

  • Colocando um token secreto (i.e. o ID da sessão) na própria URL, como apontado na resposta do gmsantos. As desvantagens são:
    1. A URL pode ser posta em cache, aumentando a exposição desse ID;
    2. Se o usuário abrir o site em uma outra aba, ele não estará necessariamente autenticado (se ele entrou diretamente, sem seguir um link contendo esse ID).
  • Mantendo-se o ID da sessão em memória somente; isso exigiria uma aplicação "de única página" onde toda a comunicação com o servidor é feita via Ajax, e o ID da sessão fica numa variável JavaScript - enviada junto aos parâmetros POST a cada requisição. Desvantagens:
    1. Toda comunicação teria que se dar via POST, para evitar que o ID acabe na URL como no caso acima;
    2. O uso ficaria restrito a uma única aba do navegador, a menos que se implementasse a comunicação entre diferentes abas (complicado, e ainda traz riscos adicionais);
    3. Diminui-se o risco do ID ir parar em arquivo, mas torna-o mais suscetível a XSS.
  • Guardando o ID da sessão no SessionStorage; semelhante aos dois casos acima (pois esse ID ainda teria de ser enviado de volta ao servidor de alguma maneira), e ainda possui o risco dos dados irem parar em arquivo de qualquer forma (se o browser travar, posteriormente um outro usuário poderia "restaurar a sessão" - já iniciando autenticado como o usuário original).
  • Reautenticando o usuário a cada requisição! Assim você não precisa de ID da sessão (nem mesmo de uma sessão!), só exija que o usuário entre com sua senha de novo, e de novo, e de novo...

Etc. Pode-se pensar em outras maneiras, mas na minha visão nenhuma delas seria significativamente diferente do uso de cookies, pois:

  1. Se a máquina estiver infectada, já era! Nada a menos que um módulo de hardware irá te proteger nesse caso, e ainda assim limitado a alguns poucos cenários;
  2. Se a solução envolver dados salvos em arquivo, qualquer usuário com root poderá acessá-los (assim como um usuário com root pode roubar o cookie jar do browser);
  3. Um browser "honesto" honra a política de mesma origem (i.e. nenhuma outra origem - esquema, domínio e porta - pode acessar esses cookies), não expõe indevidamente um cookie HttpOnly ao JavaScript, nem envia indevidamente um cookie Secure sem a devida proteção. Um "browser desonesto" (digamos, um usuário fazendo acesso direto via curl por exemplo) por outro lado poderia fazer mau uso de todos os dados, independentemente de como eles estão armazenados.

Concluindo então, minha posição é de que trabalhar sem cookies não é o melhor caminho para se garantir a segurança de sua aplicação. Em vez disso, procure diminuir a "janela de oportunidade" para o sequestro de sessão (via session_regenerate_id, como já sugerido, e/ou invalidando a sessão após X minutos de inatividade) e talvez aumente o requisito para realizar ações críticas no sistema (ex.: para trocar de senha, peça a senha original de novo, mesmo que a sessão seja válida). Tome os cuidados cabíveis, mas não se preocupe demais com os riscos inerentes ao uso de cookies - pois estes seriam os mesmos em toda exceto pela mais segura (e cara) das soluções.

1
  • Entendi seu exemplo claramente, mas até os dias de hoje as pessoas acreditam que senha 123456 é secreta. Por isso levantei a questão da responsabilidade e "isenção" dela pelo mau uso dos dados. De fato, parece que trabalhar sem cookies sem a ajuda da linguagem não vale o sacrifício, o CxB aparentemente não compensa. Obrigado, clareou alguns pontos. 13/10/2014 às 20:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .