17

Essa pergunta não se refere a segurança de senhas, ou a criptografia dos dados em si. A questão é mais lógica. Gostaria de saber qual o modo mais seguro de criar aquele esquema "lembrar-me".

Eu estava pensando no seguinte esquema:

  1. Ao autenticar o usuário criar um cookie com ID da sessão.
  2. Salvar o ID da sessão no cadastro do usuário.
  3. Sessão expira em 48h.
  4. A cada acesso atualizar o ID da sessão.

Ou seja, minha ideia era autenticar o usuário baseado em um ID salvo em um cookie no navegador do usuário e no cadastro do usuário no banco de dados, e confirmar se esse ID existe, pois eu acho que salvar o usuário e senha (nos cookies, foi a forma que mais achei na rede para essa questão), mesmo que criptografados com hash e salt e etc, não confio muito.

Gostaria de saber se esse meu método é seguro, quais seriam as possíveis falhas e quais outros métodos eu poderia utilizar, ou como eu poderia melhorar esse meu método.

4
  • Eu estou confuso em dois pontos na sua pergunta: 1) você está perguntando sobre o "lembrar-me", mas seu protocolo me parece mais um simples meio de manter a sessão (que é igual ao que 99% dos sites usam, aliás). Qual é seu objetivo com esse lembrar-me? É simplesmente que o usuário não deslogue após fechar o navegador? 2) "salvar o usuário e senha (...) não confio muito" A que você se refere? Certamente você tem que salvar isso no BD, de outra forma como você poderia autenticar o usuário? Há meios de se autenticar sem precisar de uma senha salva (certificados, SRP) mas a segurança é +- a mesma.
    – mgibsonbr
    Commented 24/09/2014 às 0:46
  • 2
    P.S. Pergunta relacionada: "Qual o melhor jeito de fazer um sistema de login em senha com PHP"
    – mgibsonbr
    Commented 24/09/2014 às 0:46
  • 1
    Isso, é exatamente o "lembrar-me" ou seja, manter a sessão após o fechamento do navegador. Sobre esse salvar a senha, desculpe me expressar mal, mas é que eu pesquisei bastante antes de perguntar aqui, e em todos os locais o pessoal salvava o usuário e senha nos cookies...
    – KaduAmaral
    Commented 24/09/2014 às 11:29
  • De fato, muito embora a senha seja um segredo compartilhado entre o usuário e o servidor - de modo que teoricamente não teria problema em passá-la de lá pra cá - existem boas razões para não se fazer isso. Dentre elas o fato que os dados do cookie ficam permanentemente salvos no computador do usuário (o ideal é que as senhas só existam em memória, e há muito esforço sendo feito - sem sucesso - para se atingir esse objetivo). Você tem toda razão em não confiar nesse método!
    – mgibsonbr
    Commented 24/09/2014 às 14:29

1 Resposta 1

21

Alguns itens que devemos tomar cuidado:

  • Cookies são fáceis de roubar informações
  • Ataques via falsificação de solicitação entre site ou Cross-site request forgery
  • Reiniciar a sessão e excluir todos os cookies após alteração de senha, para que tudo possa ser recriado.
  • Mesmo que o usuário permaneça ativo, solicitar sempre a senha quando envolver transações financeiras.
  • Nunca armazenar dados de usuários em cookies, como email, senha, cpf, número de cartões, etc.
  • Não basear a segurança apenas no ID de sessão, pois esse ID tambem pode ser clonado.
  • Não utilize dados voláteis ou transferíveis como IP para validar um usuário.
  • Nunca deixar a validade da autenticação eterna.
  • Forneça uma maneira de o usuário desconectar todos os lugares estiverem com a sessão prolongada.

Pensando nos critérios acima citados, podemos chegar no modelo a seguir e minimizar os riscos.

Gerando o token de autenticação

Precisaremos armazenar tokens da autenticação em nosso servidor, para isso uma tabela semelhante deve ser criada em nosso banco de dados.

 - id           // Um identificador para o token, não utilize auto_increment,
                // pois pode trazer problemas, 
 - user_id      // Relacionamento com as informações do usuário
 - token        // Armazena o token de autenticação
 - browser      // Identifica qual browser foi utilizado para autenticar
 - last_access  // Último acesso (timestamp)
 - created_at   // Data de criação (timestamp)

Para gerar o id desta tabela, podemos utilizar algo simples do tipo

md5( uniqid( mt_rand(), true ) );

Nesta solução iremos armazenar tambem o browser utilizado, para dificultar ainda mais as tentativas de ataques, seja por clonagem de sessão, CSRF, ataques automatizados, etc.

No PHP existem funções que facilitam identificar o browser do usuário, mas caso prefira alguma forma alternativa, existem várias na internet. Não importaremos com a versão do browser para evitar erros devido a atualizações automáticas.

Para armazenar o último acesso do usuário, sempre atualize o campo last_access usando a função time().

Para o campo created_at use tambem a função time().

O Token pode ser gerado de forma aleatória, como por exemplo:

sha1( uniqid( mt_rand() + time(), true ) );

Toda vez que o usuário autenticar, iremos gerar um novo e armazenar nesta tabela.

No cookie guardaremos apenas o id do token e o token em si.

$id = md5( uniqid( mt_rand(), true ) );
$token = sha1( uniqid( mt_rand() + time(), true ) );

// Armazenar o token na tabela do banco de dados

$expire = ( time() + ( 30 * 24 * 3600 ) ); // O cookie não deve ser eterno.
$cookieToken = array( 
    'i' => $id,
    't' => $token
);
setcookie( 'auth', json_encode( $cookieToken ), $expire, '/', 'www.dominio.com', isset( $_SERVER["HTTPS"] ), true );

Validando o token

No código anterior informamos que o cookie só é válido para determinado domínio, porem isso pode ser alterado. Sendo assim devemos validar de onde está vindo a requisição, e a maneira mais simples de fazer isso é usando a variável $_SERVER['REMOTE_HOST'], o domínio deve ser conhecido.

Após validar a requisição, recupere o cookie, deserialize os dados e valide com o banco de dados.

$tokenData = isset( $_COOKIE['auth'] ) ? json_decode( $_COOKIE['auth'] ) : false;
if( $tokenData !== false ) {
    $id = $tokenData['i'];
    $token = $tokenData['t'];

    // Busque no banco de dados o id e valide o token;
    // Veja tambem a validade do token usando como base o campo 'created_at'
    // e o browser.
    // Se tudo estiver correto, apague este token, gere um novo
    // e inicie a sessão.
}

Incrementando

Para tornar ainda mais seguro, você pode registrar todos os IPs e SESSION_IDs que usaram um determinado token.

Como toda vez que uma nova sessão é iniciada um novo token é gerado, basta gravar em uma segunda tabela o IP que gerou o token e a SESSION_ID, junto destes dados você irá gravar a ultima interação com o seu sistema e o tempo de conexão.

A tabela ficará assim:

 - ip            // Ip do usuário $_SERVER['REMOTE_ADDRE']
 - token_id      // Id do token que foi gerado quando o usuário iniciou a sessão.
 - session_id    // Id da sessão session_id()
 - user_agent    // Informação completa do browser $_SERVER['HTTP_USER_AGENT']
 - time          // Tempo de conexão
 - created_at    // Quando a conexão foi iniciada
 - updated_at    // Última atualização (função time() para toda atualização)

Toda vez que o usuário fizer alguma requisição para nosso servidor com a sessão ativa, iremos atualizar o registro da atual conexão dele, recuperando-a pelo session_id. Se nada for recuperado, a sessão dele é inválida e bloquearemos o acesso.

Para atualizar devemos sempre verificar se o IP e o user_agent são os mesmos, assim como podemos verificar se ele possui o token que foi gerado quando a autenticação foi iniciada.

Para atualizar o tempo de conexão, calcule utilizando o campo created_at

time() - $created_at

Sempre verifique se existe mais de um IP utilizando um token ao mesmo tempo. Isso pode ocorrer quando o provedor do usuário troca o IP e a sessão se mantém ativa.

Se um token possuir requisições de IPs diferentes com um tempo muito curto entre elas, devemos invalidar o token, e redirecionar qualquer requisição ligada a ele para a tela de login.

Observações

Esta maneira possui algumas falhas, mas já dificulta bastante as tentativas de roubo de sessão devido ao fato de o token ser constantemente atualizado.

As requisições de inserção e atualização ao banco de dados vai aumentar bastante para esse modelo. Para evitar problemas, este modelo deve ser baseado em bancos não relacionais ou utilizar uma camada de cache como o memcached, que irá receber todas as requisições e de tempos em tempos, atualizar o banco de dados.

Devemos alertar sempre o usuário quando mais de uma sessão com estiver ativa, e fornecer a possibilidade de invalidar todos os tokens, e realizar o login novamente.

Nunca devemos possibilitar a troca de senha sem ter uma maneira de validar a autenticidade de quem está alterando.

É muito importante alertar ao usuário sobre o uso de cookies e ter uma política bem escrita sobre isso.

9
  • Ótima resposta, mas gostaria de um esclarecimento sobre os pontos "Cookies são fáceis de roubar informações" e "Não basear a segurança apenas no ID de sessão, pois esse ID tambem pode ser clonado" (pode ser na forma de referências, se uma explicação completa for muito longa pra postar aqui). Que eu saiba, um Cookie HttpOnly e Secure é muito difícil de ser roubado, talvez exceto por plugins vulneráveis no browser, mas posso estar bastante enganado é claro (por isso gostaria de mais informações). E quanto ao REMOTE_HOST, se um atacante roubou o cookie ele não pode forjar isso também?
    – mgibsonbr
    Commented 24/09/2014 às 4:06
  • Muito bom, mas gerou uma dúvida. Guardar o browser do usuário para validar, pode gerar erro no acesso mobile, não? Commented 24/09/2014 às 4:09
  • 1
    @mgibsonbr realmente o cookie utilizando HttpOnly fica mais difícil de roubar utilizando javascript, porem em uma requisição que não seja por ajax existem ataques conhecidos como cookie hijacking, aqui fica difícil explicar. Se for com Secure aí é excelente, porem nem todos tem grana pra bancar um certificado digital, etc e tal.
    – marcusagm
    Commented 24/09/2014 às 5:02
  • @mgibsonbr O REMOTE_HOST não sei te responder como poderia ser alterado, mas existem algumas outras implementações para validar isso. Em uma pesquisa rápida vi que é possível identificar direto pelo firewall do servidor.
    – marcusagm
    Commented 24/09/2014 às 5:03
  • 2
    Ops e esqueci, valeu @PapaCharlie. Como no celular não irá possuir sessão ativa, um token novo será gerado só para ele. A implementação não impede que haja mais de um token para um mesmo usuário.
    – marcusagm
    Commented 24/09/2014 às 5:31

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .