0

Partindo da ideia de que o usuário digitou o login e senha corretamente na página de login, irei salvar um cookie para autenticar o usuário para que o login permaneça ativo e o usuário consiga se conectar a outros dispositivos sem ser deslogado na sessão anterior.

Para isso comecei criando uma tabela no banco de dados com as seguintes características:

CREATE TABLE `manter_login` (
  `id` int(11) NOT NULL,
  `id_user` int(11) NOT NULL,
  `login_history` longtext CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL CHECK (json_valid(`login_history`))
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

ALTER TABLE `manter_login`
  ADD PRIMARY KEY (`id`),
  ADD KEY `id_user` (`id_user`);

ALTER TABLE `manter_login`
  MODIFY `id` int(11) NOT NULL AUTO_INCREMENT, AUTO_INCREMENT=1;
COMMIT;

E criando as seguintes funções:

define("USER2", 'root');
define("PASS2", '');
define("NAME2", 'users');

//conexão area de login
try {
    $db2 = new PDO("mysql:host=".HOST.";dbname=".NAME2.";charset=utf8", "".USER2."", "".PASS2."");
    $db2->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db2->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
    $db2->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
} catch (PDOException $e2) {
    echo $e2->getMessage();
}

// Função basica para gerenciamento PDO
function sql2($db2, $q, $params, $return) {
  // Prepare statement
    $stmt = $db2->prepare($q);
  // Execute statement
    $stmt->execute($params);
  // Decida se deseja retornar as linhas ou apenas contar as linhas
    if ($return == "rows") {
        return $stmt->fetch();
    }elseif ($return == "rowsall") {
        return $stmt->fetchAll();
    }elseif ($return == "count") {
        return $stmt->rowCount();
    }elseif( $return == "lastid"){
        return $db2->lastInsertId();
    }elseif( $return == "fake"){
        //fake sem nada
    }
}

function salvarDadosLoginCookie($user_id, $removeSeletorLogin = 0){
    global $db2;

    $contar_registros = sql2($db2, "SELECT id FROM manter_login WHERE id_user = ?", array($user_id), "count");
    $pega_ip = filter_input(INPUT_SERVER, 'HTTP_CF_CONNECTING_IP', FILTER_VALIDATE_IP);
    $seletor = base64_encode(random_bytes(9));
    $autenticador = random_bytes(33);
    $meu_token = $seletor.':'.base64_encode($autenticador);
    
    //Array com as informações do usuario para podermos autenticar mais tarde
    $novoArray = [
        'ip' => $pega_ip,
        'seletor' => $seletor,
        'autenticador' => hash('sha256', $autenticador),
        'data' => date('Y-m-d h:i:s', time())
    ];
    
    //Se a variavel removeSeletorLogin for diferente de zero, e porque a função foi chamada apos validar o hash_equals, então precisamos dar update no array e remover o seletor, para que não possa ser mais usado
    if($removeSeletorLogin !== 0){
        $lrdados = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($user_id), "rows");
        $gerarNovoArrayRemovendoSeletor = removeArrayLogin($removeSeletorLogin, $lrdados['login_history']);

        sql2($db2, "UPDATE manter_login SET login_history = ? WHERE id_user = ?", array($gerarNovoArrayRemovendoSeletor, $user_id), "fake");
    }
    
    //Se não houver registros iremos inserir um novo com o array de informações, Se ja exister um registro, o mesmo será modificado e iremos acrescentar um novo indice de array a ele, Esse Array poderá ter ate 5 indices, ou seja iremos permitir o uso da conta de um usuario a 5 dispostivos
    if($contar_registros > 0){
        $ldados = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($user_id), "rows");
        $gerarNovoArray = updateArrayLogin($ldados['login_history'], $novoArray);
        
        //Inciaremos esse session para poder fazer logout desse seletor mais tarde
        $_SESSION['seletor_login_atual'] = $seletor;
        
        sql2($db2, "UPDATE manter_login SET login_history = ? WHERE id_user = ?", array($gerarNovoArray, $user_id), "fake");
    }else{
        //Array Inicial
        $novoArrayInsert = array($novoArray);
        sql2($db2, "INSERT INTO manter_login(id_user, login_history) VALUES (?, ?)", array($user_id, json_encode($novoArrayInsert)), "fake");
    }
    
    // Cookie com token e id do usuario, esse id será usado para validar se existe um seletor para um usuario, se houver um seletor pra ele, iremos permitir o login, se não houver o login e recusado
    setcookie('user_valid', json_encode(array( 'user_id' => $user_id, 'token' => $meu_token)), time() + (86400 * 7), '/', null, true, true);
}

function autenticarLogin(){
    global $db2;

    // Verificamos se o cookie existe
    if (!isset($_COOKIE['user_valid']) || empty($_COOKIE['user_valid'])) {
        return false;
    }

    // Verificamos se o cookie e valido
    if(!$cookie_login = @json_decode($_COOKIE['user_valid'], true)) {
        return false;
    }

    // Verificamos se os parametros estão corretos
    if (!(isset($cookie_login['user_id']) || isset($cookie_login['token']))) {
        return false;
    }

    // Verificamos o tamanho do cookie 
    if(strlen($_COOKIE['user_valid']) > 1500){
        return false;
    }
    
    // Verificamos se o separador existe
    if ((strpos($cookie_login['token'], ':') !== false) === false) {
        return false;
    }
    
    $id_user_by_cookie = abs($cookie_login['user_id']);

    // Verificamos se existe algum registro com o id do usuario no banco de dados
    $contar_registros_user = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($id_user_by_cookie), "count");

    if($contar_registros_user === 0){
        return false;
    }

    if (empty($_SESSION['user_logado_id']) && !empty($_COOKIE['user_valid'])) {
        list($seletor, $autenticador) = explode(':', $cookie_login['token']);
        
        $registro_atual = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($id_user_by_cookie), "rows");
        $encoda_login_history = json_decode($registro_atual['login_history'], true);

        // definido inicialmente como 0, se no foreach houver um seletor igual ao cookie, iremos definir o valor pra 1
        $verifica_existencia_seletor = 0; 
        $captura_autenticador = '';
        $captura_ip = '';
        $captura_seletor = '';
        
        //Vamos descobrir se os seletores do usuario pesquisado e igual ao que está no cookie
        foreach($encoda_login_history as $hlogin => $data) {
            if($data['seletor'] == $seletor){
                //Seletor Foi encontrado então iremos alterar o valor pra 1
                $verifica_existencia_seletor = 1;
                //Passamos o valor do token autenticador pra variavel
                $captura_autenticador = $data['autenticador'];
                //Passamos o ip para uma variavel externa para podermos validar tbm
                $captura_ip = $data['ip'];
                //Pegamos o seletor
                $captura_seletor = $data['seletor'];
                
                //vou limitar a vida de um cookie a 7 dias, ja que geramos um novo sempre que o session leva update
                if(calculaDiferencaData($data['data']) >= 7){
                    //Removemos o Indice do array que tem o seletor gerado a mais de 7 dias
                    sql2($db2, "UPDATE manter_login SET login_history = ? WHERE id_user = ?", array(removeArrayLogin($seletor, $registro_atual['login_history']), $registro_atual['id_user']), "fake");

                    //Nesse caso o seletor deixou de existir, então voltaremos o valor dele para zero
                    $verifica_existencia_seletor = 0;
                }
            }
        }

        //Verificamos se o seletor foi encontrado
        if($verifica_existencia_seletor === 0){
            setcookie('user_valid', null);
            return false;
        }

        $pega_ip = filter_input(INPUT_SERVER, 'HTTP_CF_CONNECTING_IP', FILTER_VALIDATE_IP);
        
        //Se os ips do banco de dados e o ip da maquina do usuario forem diferentes não iniciaremos a sessao de login
        if($captura_ip !== $pega_ip){
            return false;
        }

        //Validamos o hash - se estiver tudo ok, podemos iniciar a session
        if (hash_equals($captura_autenticador, hash('sha256', base64_decode($autenticador)))) {
            //Inciaremos a session com id do usuario
            $_SESSION['user_logado_id'] = $registro_atual['id_user'];
            
            //Agora que o login foi bem sucessido, iremos re-criar o cookie e deletar o seletor do array, para que ele não possa ser utilizado novamente
            salvarDadosLoginCookie($registro_atual['id_user'], $captura_seletor);

            return true;
        }
    }

    if(isset($_SESSION['user_logado_id'])){
        return true;
    }
}

//Função destinada para deslogar o dispositivo que o usuario ta logado
function deslogarDispositivoAtual(){
    global $ta_logado, $db2;
    
    if($ta_logado === 1){
        $contar_registros_logout = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($_SESSION['user_logado_id']), "count");
        
        if($contar_registros_logout > 0){
            $registros_logout = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($_SESSION['user_logado_id']), "rows");

            sql2($db2, "UPDATE manter_login SET login_history = ? WHERE id_user = ?", array(removeArrayLogin($_SESSION['seletor_login_atual'], $registros_logout['login_history']), $_SESSION['user_logado_id']), "fake");
        }
    }
    
    session_destroy();
    setcookie('user_valid', null);
}

//Função para usar quando o usuario mudar a senha
function deslogarDeTodosDispositivos($id_deslogar){
    global $db2;
    
    sql2($db2, "DELETE FROM manter_login WHERE id_user = ?", array($id_deslogar), "fake");
    
    session_destroy();
    setcookie('user_valid', null);
}

function calculaDiferencaData($DataEvento){
    $hoje = new DateTime();
    $diferenca = $hoje->diff(new DateTime($DataEvento));
    return $diferenca->days;
}

function updateArrayLogin($arrayAtual, $novoArray){
    
    $arrayAtual = json_decode($arrayAtual, true);
    
    if(!is_array($arrayAtual)){
        $arrayAtual = array();
    }
    
    $arrayAtual[] = $novoArray;
    
    $arrayNovo = array_filter($arrayAtual, function($value) {
        return is_array($value);
    });

    if(($quantidade = count($arrayNovo)) > 5){
        $arrayNovo = array_slice($arrayNovo, $quantidade - 5, 5);
    }
    
    return json_encode($arrayNovo);
}

function removeArrayLogin($seletor, $arrayEdit){
    
    $arrayEdit = json_decode($arrayEdit, true);

    if(!is_array($arrayEdit)){
        $arrayEdit = array();
    }
    
    foreach($arrayEdit as $arrayE => $data) {
        if($data['seletor'] == $seletor){
            unset($arrayEdit[$arrayE]);
        }
    }
    
    return json_encode($arrayEdit);
}

e por fim iniciando as funções para verificar se o usuário está logado

$ta_logado = 0;

//Se o session user_logado_id não existe, iremos verificar se uma possivel sessão pode ser iniciada
if(!isset($_SESSION['user_logado_id']) || empty($_SESSION['user_logado_id'])){
    autenticarLogin();
}
//Se ja existir user_logado_id, iremos chamar os dados no banco de dados
if(isset($_SESSION['user_logado_id']) && !empty($_SESSION['user_logado_id'])){
    
    //Porem antes vamos validar e ver se o usuario não mudou a senha. Pois quando o usuario mudar a senha o registro no banco de dados e deletado.
    $contar_registros_user_atual = sql2($db2, "SELECT * FROM manter_login WHERE id_user = ?", array($_SESSION['user_logado_id']), "count");
    
    if($contar_registros_user_atual === 0){
        session_destroy();
        setcookie('user_valid', null);
    }else{
        $verificaDados = sql2($db2, "SELECT * from usuarios WHERE id = ?", array($_SESSION['user_logado_id']), "rows");
        if(isset($verificaDados['usuario']) && !empty($verificaDados['usuario'])) {
            $ta_logado = 1;
        }
    }
    
}

Como posso melhorar a segurança do meu sistema?

1 Resposta 1

0

Não há como melhorar a segurança de um sistema sem assumir quais seriam os problemas. Você precisa definir quais seriam os problemas, para então conseguir definir o que fazer para cada uma das situações (e quais novos problemas isso criaria).


Mas, em geral, existe alguns pontos:

A validação de IP:

Tenha certeza de que está negando qualquer ao site/servidor por fora do CloudFlare. Caso contrário, se você permitir que acesse a página por fora do CloudFlare (isso é, http://123.123.123.123/sua-pagina.php) seria possível o cabeçalho de HTTP_CF_CONNECTING_IP.

  • Em geral, restringir o IP desta forma também implica um problema de usabilidade, já que quem utiliza dados moveis pode constantemente ter o IP alterado. Além disso vários usuários podem usar o mesmo IP, devido ao CGNAT e ao compartilhamento de rede.

Acesso a escrita/atualização no banco de dados:

Você está usando hash ao invés de hmac, isso faz com que o banco de dados tenha a hash e o usuário a pre-imagem da hash. Porém, isso não é suficiente se atacante tiver acesso de escrita (ou atualização) do banco de dados.

  • Acredito que uma melhor construção seria algo como: hmac('sha256', $_CHAVE_DA_APLICAO, $_ID_DO_USARIO + $_TOKEN_ALEATORIO). Essa construção impede duas variantes de ataque, que atualmente a hash não protege:

    • Se for possível criar um registro em manter_login de maneira arbitraria: o token terá que usar o $_CHAVE_DA_APLICAO, o que será desconhecido para o atacante (assumindo que a $_CHAVE_DA_APLICAO esteja segura até esse ponto).
    • Se for possível atualizar e ver os dados de manter_login, a concatenação de $_ID_DO_USARIO + $_TOKEN_ALEATORIO impossibilitará o re-uso de uma pré-imagem conhecida. Isso é mais difícil de explicar: suponha que eu tenha uma conta, e tenho o TOKEN=A corresponde a HASH=B e dá acesso ao ID=100. Eu poderia alterar o ID do usuário vinculado ao HASH=B, assim o meu TOKEN=A teria acesso à outra conta (ID=111). A concatenação invalida esse ataque, já que pré-imagem é construída baseada o ID do usuário, portanto atualizar o ID no banco de dados será inútil. Então mesmo que eu altere o banco de dados para ID=111, o hmac será de 100 + token e então será inválido para 111 + token.

$O $seletor não é usado no SELECT

Não sei qual o proposito do $selector, mas inicialmente achei que isso fosse para intencionalmente gerar colisões, mas aparentemente não é o caso.

  • Acredito que o $selector poderia ser usado no SELECT, afim de gerar maiores colisões.

    • Essa construção dificulta saber se um usuário esteve logado recentemente, ou se há muitos ou poucos acessos, baseado no tempo de resposta (timing-attack). Isso ocorre porque vários tokens, de vários usuários distintos, poderiam usar o mesmo $selector.

    • Essa solução também pode acabar tendo um DoS, uma vez que devido a quantidade de colisões poderia conter muitos registros.


Talvez existam mais problemas, ou os problemas mencionados aqui sejam ignoráveis. Como disse no inicio, isso depende de qual problema você realmente quer resolver e do que considera como um problema. Por exemplo, em alguns casos pode assumir que: se o banco de dados está comprometido ao ponto de permitir adicionar sessões, o mesmo banco de dados também está comprometido ao ponto de permitir alterar a senha de um usuário arbitrariamente.

1
  • Mudei pra hmac e coloquei uma CHAVE_DA_APLICAO direto no array "$novoArray", pq dessa forma cada sessão vai ter um CHAVE_DA_APLICAO própria
    – Gabriel
    7/07/2021 às 15:27

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .