Alguns itens que devemos tomar cuidado:
- Cookies são fáceis de roubar informações
- Ataques via falsificação de solicitação entre site ou Cross-site request forgery
- Reiniciar a sessão e excluir todos os cookies após alteração de senha, para que tudo possa ser recriado.
- Mesmo que o usuário permaneça ativo, solicitar sempre a senha quando envolver transações financeiras.
- Nunca armazenar dados de usuários em cookies, como email, senha, cpf, número de cartões, etc.
- Não basear a segurança apenas no ID de sessão, pois esse ID tambem pode ser clonado.
- Não utilize dados voláteis ou transferíveis como IP para validar um usuário.
- Nunca deixar a validade da autenticação eterna.
- Forneça uma maneira de o usuário desconectar todos os lugares estiverem com a sessão prolongada.
Pensando nos critérios acima citados, podemos chegar no modelo a seguir e minimizar os riscos.
Gerando o token de autenticação
Precisaremos armazenar tokens da autenticação em nosso servidor, para isso uma tabela semelhante deve ser criada em nosso banco de dados.
- id // Um identificador para o token, não utilize auto_increment,
// pois pode trazer problemas,
- user_id // Relacionamento com as informações do usuário
- token // Armazena o token de autenticação
- browser // Identifica qual browser foi utilizado para autenticar
- last_access // Último acesso (timestamp)
- created_at // Data de criação (timestamp)
Para gerar o id
desta tabela, podemos utilizar algo simples do tipo
md5( uniqid( mt_rand(), true ) );
Nesta solução iremos armazenar tambem o browser utilizado, para dificultar ainda mais as tentativas de ataques, seja por clonagem de sessão, CSRF, ataques automatizados, etc.
No PHP existem funções que facilitam identificar o browser do usuário, mas caso prefira alguma forma alternativa, existem várias na internet. Não importaremos com a versão do browser para evitar erros devido a atualizações automáticas.
Para armazenar o último acesso do usuário, sempre atualize o campo last_access
usando a função time()
.
Para o campo created_at
use tambem a função time()
.
O Token pode ser gerado de forma aleatória, como por exemplo:
sha1( uniqid( mt_rand() + time(), true ) );
Toda vez que o usuário autenticar, iremos gerar um novo e armazenar nesta tabela.
No cookie guardaremos apenas o id
do token e o token
em si.
$id = md5( uniqid( mt_rand(), true ) );
$token = sha1( uniqid( mt_rand() + time(), true ) );
// Armazenar o token na tabela do banco de dados
$expire = ( time() + ( 30 * 24 * 3600 ) ); // O cookie não deve ser eterno.
$cookieToken = array(
'i' => $id,
't' => $token
);
setcookie( 'auth', json_encode( $cookieToken ), $expire, '/', 'www.dominio.com', isset( $_SERVER["HTTPS"] ), true );
Validando o token
No código anterior informamos que o cookie só é válido para determinado domínio, porem isso pode ser alterado. Sendo assim devemos validar de onde está vindo a requisição, e a maneira mais simples de fazer isso é usando a variável $_SERVER['REMOTE_HOST']
, o domínio deve ser conhecido.
Após validar a requisição, recupere o cookie, deserialize os dados e valide com o banco de dados.
$tokenData = isset( $_COOKIE['auth'] ) ? json_decode( $_COOKIE['auth'] ) : false;
if( $tokenData !== false ) {
$id = $tokenData['i'];
$token = $tokenData['t'];
// Busque no banco de dados o id e valide o token;
// Veja tambem a validade do token usando como base o campo 'created_at'
// e o browser.
// Se tudo estiver correto, apague este token, gere um novo
// e inicie a sessão.
}
Incrementando
Para tornar ainda mais seguro, você pode registrar todos os IPs e SESSION_IDs que usaram um determinado token.
Como toda vez que uma nova sessão é iniciada um novo token é gerado, basta gravar em uma segunda tabela o IP que gerou o token e a SESSION_ID, junto destes dados você irá gravar a ultima interação com o seu sistema e o tempo de conexão.
A tabela ficará assim:
- ip // Ip do usuário $_SERVER['REMOTE_ADDRE']
- token_id // Id do token que foi gerado quando o usuário iniciou a sessão.
- session_id // Id da sessão session_id()
- user_agent // Informação completa do browser $_SERVER['HTTP_USER_AGENT']
- time // Tempo de conexão
- created_at // Quando a conexão foi iniciada
- updated_at // Última atualização (função time() para toda atualização)
Toda vez que o usuário fizer alguma requisição para nosso servidor com a sessão ativa, iremos atualizar o registro da atual conexão dele, recuperando-a pelo session_id
. Se nada for recuperado, a sessão dele é inválida e bloquearemos o acesso.
Para atualizar devemos sempre verificar se o IP
e o user_agent
são os mesmos, assim como podemos verificar se ele possui o token que foi gerado quando a autenticação foi iniciada.
Para atualizar o tempo de conexão, calcule utilizando o campo created_at
time() - $created_at
Sempre verifique se existe mais de um IP utilizando um token ao mesmo tempo. Isso pode ocorrer quando o provedor do usuário troca o IP e a sessão se mantém ativa.
Se um token possuir requisições de IPs diferentes com um tempo muito curto entre elas, devemos invalidar o token, e redirecionar qualquer requisição ligada a ele para a tela de login.
Observações
Esta maneira possui algumas falhas, mas já dificulta bastante as tentativas de roubo de sessão devido ao fato de o token ser constantemente atualizado.
As requisições de inserção e atualização ao banco de dados vai aumentar bastante para esse modelo. Para evitar problemas, este modelo deve ser baseado em bancos não relacionais ou utilizar uma camada de cache como o memcached
, que irá receber todas as requisições e de tempos em tempos, atualizar o banco de dados.
Devemos alertar sempre o usuário quando mais de uma sessão com estiver ativa, e fornecer a possibilidade de invalidar todos os tokens, e realizar o login novamente.
Nunca devemos possibilitar a troca de senha sem ter uma maneira de validar a autenticidade de quem está alterando.
É muito importante alertar ao usuário sobre o uso de cookies e ter uma política bem escrita sobre isso.