15

Estou desenvolvendo um sistema de login em PHP e MySQL para um painel de administração, e já vi muitos sistemas "seguros" de login onde eles armazenam na sessão o login do usuário ou a senha, isso quando não são ambos ou até todos os dados do usuário logado.

Já construí sistemas de login antes, e foi basicamente desta forma, mas preciso de algo mais seguro, não posso guardar a informações de login do usuário na sessão.

Alguma dica? ideia?

5
  • 5
    Guardar o ID do usuário é suficiente.
    – bfavaretto
    2/11/2014 às 12:35
  • 1
    Confere o seguinte no console do browser console.log(StackExchange.options.user)
    – brasofilo
    2/11/2014 às 12:41
  • @bfavaretto, se eu guardar algo além do ID, é ruim?
    – ptkato
    2/11/2014 às 17:33
  • 1
    @Patrick só compensa guardar coisa que não tem importância ser acessada pelo cliente (como preferências de navegação, etc.). O resto é melhor que fique na sessão mesmo, assim o navegador do cliente não tem como acessar os dados. Se quiser deixar a sessão um pouco mais robusta, pode associar a ela o IP atual do usuário por exemplo (cuidado com efeitos colaterais, entretanto).
    – Largato
    2/11/2014 às 18:09
  • Pode até salvar senha em cookie ou session desde que seja criptografado. A vantagem de salvar esses dados em cookie, em client ou server, é poupar recursos de conexão com banco de dados em todas as requisições que exigirem e identificação e autenticação. 3/11/2014 às 3:21

2 Respostas 2

19

Para clarificar

Qualquer sistema de login implementado em PHP ou seja em que linguagem for que guarda na sessão os dados de login, em particular a password ou a combinação de password + nome de utilizador, é um sistema inseguro.


A segurança dos cookies de sessão

Os cookies de sessão, $_SESSION, cujos mesmos são gerados e guardados no servidor podem ser acedidos por terceiros, apesar de requerer algum trabalho, pelo que, quaisquer dados a guardar na sessão devem ser dados não comprometedores e com o intuito de otimizar o código e/ou reduzir o numero de consultas à base de dados.

PHP Security Consortium tem um guia online sobre segurança onde salienta dois problemas com a sessão, embora os mesmos possam ser ultrapassados com o devido cuidado por parte do programador:

  • Session Fixation

    Fixation is the simplest method of obtaining a valid session identifier. While it's not very difficult to defend against, if your session mechanism consists of nothing more than session_start(), you are vulnerable.

    que traduzido:

    Fixação é o método mais simples de obter um identificador de sessão válido. Embora não seja muito difícil de defender, se o seu mecanismo de sessão consiste em nada mais do que session_start(), você está vulnerável.

  • Session Hijacking

    Arguably the most common session attack, session hijacking refers to all attacks that attempt to gain access to another user's session.

    As with session fixation, if your session mechanism only consists of session_start(), you are vulnerable, although the exploit isn't as simple.

    Que traduzido:

    Provavelmente o ataque mais comum à sessão, o sequestro de sessão refere-se a todos os ataques onde se tenta ganhar acesso a sessão de outro usuário.

    Tal como acontece com fixação de sessão, se o seu mecanismo de sessão consiste apenas de session_start(), você está vulnerável, embora a tentativa com sucesso não seja tão simples.

Limitação da Sessão

A sessão tem um limite no que respeita aos dados armazenados que é imposto pelo tamanho máximo do ficheiro no sistema operativo. Não obstante, existe também o limite da memória imposto pela diretiva memory_limit que limita a quantidade de memória que um script de PHP pode consumir no servidor.

Dos dois, o que for mais baixo será o espaço máximo que a sessão pode ocupar.

Sessão vs Base-de-dados

A sessão quando criada gera um ID único por visitante, ID esse que nos permite identificar a pessoa de forma distinta em relação às outras. Esse ID guardado numa tabela de login na base de dados junto com a restante informação que precisamos para a sessão do utilizador é de fato uma das formas mais seguras de manter o sistema de login do website/aplicação.

Onde a segurança é um fator mais critico do que aquilo que habitualmente já o é, podemos ver as coisas desta maneira: Em teoria, é mais facil chegar aos dados em sessão do que chegar aos dados na base de dados dado a mesma estar por trás de mais passwords de acesso.

O que guardar na sessão

Guardar dados na sessão bem como chegarmos a utilizar ou não a sessão é algo que vai depender da informação a gerir. Por norma a sessão torna-se util para guardar informação do tipo:

  • Erros dum formulário;
  • Mensagens ao utilizador;
  • Endereços para redirecionamento após determinada ação.

Ou seja, a sessão dá-nos a flexibilidade de guardar dados de forma persistente e facilmente acessíveis. A sessão não é propriamente uma base de dados para armazenar informação critica ou comprometedora.


Sumário

Base de dados para guardar os dados do utilizador com login realizado é o caminho a seguir.

O uso da sessão é particularmente útil para guardar informação de auxilio à navegação e interação com o utilizador.

Dados comprometedores devem ficar em base de dados, nunca em sessão.

Login + Password nunca guardar na sessão e a password nunca guardar sem estar encriptada.

1
  • a sua resposta está muito didática..... Gostei. Para melhorar adicione que dados de sessão persistentes a melhor forma é em base de dados e que em sistemas com muitos acessos é importante adicionar ao mecanismo uma cache do tipo "memcached" para que a base de dados não entre colapso melhorando também a capacidade de resposta. Parabéns pela resposta.
    – chambelix
    4/11/2014 às 9:28
3

O problema é que o cookie está na máquina do visitante e está disponível facilmente e qualquer pessoa pode editá-lo. Imagine a minha id é "Peter". Eu estou em seu site, com login. Vou dar uma olhdada no Cookie e ver lá dentro "id = Peter". Eu vou perguntar um colega qual e seu id, ele vai me dizer que é (por exemplo) "maximo". Vou colocar um cookie com "id = maximo" e eu poderia me conector como ele. Não é muito seguro ...

Isto requer que o cookie contém informações suficientes para que você saiba quem está conectado (não só o seu id, mas também outras informações que você pode misturar para verificar se eles são corretas, por exemplo id visitante, a sua idade, o seu CEP etc ...) e também que o cookie é criptografada.

A dificuldade é que você não pode ter uma criptografia assimétrica, porque você vai ter que ler o cookie para levar informações. Portanto, você deve determinar o que precisa armazenar, preparar os dados como uma string, criptografar a string e colocar no cookie. Após a leitura, você vai ter que decifrar o cookie e remover as "string" e verificar a integridade. Você pode, por exemplo criptografar de acordo com a data de apresentação do Cookie, a localização do visitante etc ... Então, se alguém consegui "quebrar" o cookie, ele também vai dever saber a localização geográfica de que ele quer usurpar identidade, que rapidamente se torna complicado.

Aqui está uma pequena classe de criptografia que pode ajudá-lo. Eu, obviamente, não pode mostrar-lhe o caminho completo que eu uso para criptografar meus cookies.

 class Chiffrement
{
// Cipher:
// cast-128 gost rijndael-128 twofish arcfour cast-256 loki97 rijndael-192
//  saferplus wake blowfish-compat des rijndael-256 serpent xtea blowfish
// enigma rc2 tripledes 

// Modes:
// cbc cfb ctr ecb ncfb nofb ofb stream 

private static $cipher  = MCRYPT_RIJNDAEL_256;  // Cipher

private static $mode    = 'cbc';  // Mode (blocoss)

public static function crypt($data,$key)
{
    $keyHash = md5($key);
    $key = substr($keyHash, 0,   mcrypt_get_key_size(self::$cipher, self::$mode) );
    $iv  = substr($keyHash, 0, mcrypt_get_block_size(self::$cipher, self::$mode) );

    $data = mcrypt_encrypt(self::$cipher, $key, $data, self::$mode, $iv);
    return base64_encode($data);
}

public static function decrypt($data,$key)
{
    $keyHash = md5($key);
    $key = substr($keyHash, 0,   mcrypt_get_key_size(self::$cipher, self::$mode) );
    $iv  = substr($keyHash, 0, mcrypt_get_block_size(self::$cipher, self::$mode) );

    $data = base64_decode($data);
    return mcrypt_decrypt(self::$cipher, $key, $data, self::$mode, $iv);
}
}

Vou completar para responder no cometario: no caso dos base de dados, das sessaos, e muito dificil saber onde sao os dados. E de verdade, não importa. Se uma pessoa pode fazer uma injecçao SQL, ela não precisa saber "exatamente onde" são os dados: ela precisa saber como ler os dados. E suficiente. Então, achar que tudo ta certo porque os dados não no servidor e uma brincadeira: o que precisa e proteger o aceso, então, evitar "dar a chave da casa". A dificuldade e que o visitante... deve ter a chave para acessar! Significa que a chave vai estar no navegador.

O problema maior e a ligaçao entre a chave e os dados e a pergunta principal e "como fazer para evitar a copia da chave e, pior, como evitar que uma pessao entende o sistema da chave para fazer uma copia igual o que parace igual".

Analisar os Cookie no seu navegador permite facilmente ver que tem que não são protegidos: vc vai var o seu id por exemplo. Com um software tipo https://chrome.google.com/webstore/detail/editthiscookie/fngmhnnpilhplaeedifhccceomclgfbg?hl=fr vc pode modificar os cookie.

Isso significa que precisa modificar o cookie para evitar a modificaçao, colocar mas que o Id, criar uma ligaçao entre os dados do cookie. O objetivo jamais vai ser de colocar todas as info no cookie: o objetivo esta de impedir a modificaço do cookie e ter a capacidade, do lado do servidor, saber que a chave esta coreta. Depois, com uma chave coreta, ler os dados da BDD é facil.

2
  • 5
    Os dados da sessão são guardados no servidor. O cookie geralmente só contém um id de sessão para poder recuperar esses dados na outra ponta.
    – bfavaretto
    2/11/2014 às 15:01
  • 1
    Não estou contestando que existam medidas adicionais de segurança contra session hijacking, só quis esclarecer que os dados de sessão geralmente não ficam guardados em cookies (o autor da pergunta parecia confuso quanto a isso). E, para constar, o -1 na sua resposta não é meu.
    – bfavaretto
    3/11/2014 às 12:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .