3

Eu queria criar um sistema de administração para o site, fiz de forma que os utilizadores tem associado a si um campo nível e se este for um dado valor eles conseguem aceder ao controlo de administrador, doutra forma se tentarem são direccionados para o índex, não sei se esta é uma forma eficiente.

Reparei noutro sistema de criar diretórios protegidos.

Podem me dizer qual das formas é mais eficiente e se existe alguma vulnerabilidade na forma como eu decidi implementar?

3
  • Eu sei que não é bem uma resposta, e mais uma indicação, então resolvi fazer por aqui... Você já viu a bilioteca ACL do framework phalcon do PHP? docs.phalconphp.com/en/latest/reference/acl.html
    – Ruggi
    Commented 14/05/2015 às 22:55
  • Existe inúmeras formas de fazer esse processo. Acredito que o melhor são controles de sessions, ao logar no seu sistema defina um nível de acesso, crie uma função para verificar o nível de acesso e o acesso a página. É uma maneira simples, mas bem efetiva. Abs.
    – MoisesGama
    Commented 15/05/2015 às 19:41
  • depende também da política de uso interno.. a grande maioria dos usuários, mesmo num ambiente corporativo, se não tiverem disciplina ou políticas internas restritivas, de nada adianta criar um complexo sistema de níveis de permissão pois normalmente por preguiça criam um único usuário admin com todas as permissões possíveis e compartilham com todos..rrsrs Portanto, verifique com os usuários qual política de segurança pretendem usar. Se forem desleixados, crie um unico usuário root que será o seu e um único admin, que será deles. Nesses casos, jamais ensine-os que existe um user root. Commented 15/08/2015 às 10:41

1 Resposta 1

3

Existem muitas práticas que podem elevar o nível de segurança de um sistema. Estarei listando algumas mais comuns e importantes.

Força das Senhas

Uma prática bastante recomendada é recomendar/obrigar o usuário (principalmente os com acesso ao sistema de administração) a escolher uma senha com uma força razoavelmente forte, contendo letras minúsculas, maiúsculas, números e talvez até símbolos, por exemplo 3sSa.e.Minh4$3nH4. Isso dificulta bastante na hora de quebra-la.

Faça com que Senhas expirem

A prática de expirar a senha é muito comum hoje em dia, principalmente em ambientes corporativos. Isso mantém o ambiente em constante atualização, podendo até ser possível atualizar hashs de seguranças de tempos em tempos. Por exemplo pesquisando a senha 3sSa.e.Minh4$3nH4 no site How Secure is my Password, mostra que para um computador comum quebrar essa senha pode demorar 39 quadrilhões de anos, mas digamos que o hacker possua inúmeros computadores zumbis, então esse número pode ser reduzido consideravelmente, mas se você possui uma rotina de segurança que obriga as senhas serem atualizadas de 6 em 6 meses, você estenderá o tempo de quebra da sua segurança em até um tempo infinito.

Segurança da Senha

Não Criptografe apenas com md5

Utilizando o app MD5 Decrypt do site Hash Killer é possível quebrar hashs simples, com apenas números ou letras, como por exemplo 123456, carlos12. Por isso é incentivado utilizar no mínimo um salt na senha antes de criptografa-la.

Eu não vou ficar reescrevendo a teoria da relatividade, então aqui tem uma pergunta e resposta sobre hashs de segurança..

Evite o nome Admin

Utilizar o endereço meusite.com/admin ou admin.meusite.com é muito óbvio, dê preferências a nomes alternativos como mspanel (abreviação para MeuSitePanel) ou algo do tipo, um nome fácil de ser lembrado e que não existe links de entrada, mas também que não seja tão óbvio. Também, se possível, restrinja o acesso por IP.

SSL

Se possível invista em Certificados Digitais, mas para um sistema interno você mesmo pode gerar suas chaves de segurança. Então veja o que vale mais a pena para o tipo de sistema.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .