4

Estou reforçando um sistema de autenticação, onde na parte de recuperação de senha, implementei da seguinte forma.

  1. O usuário informa o endereço de e-mail.
  2. Caso exista, o e-mail é enviado (ver exemplo abaixo).
  3. O usuário clica no e-mail e vai até a página de recuperação (através de URL com código)
  4. O código é preenchido automaticamente em um campo hidden do formulário (sanitização e escape ok).
  5. Caso o usuário digite as duas senhas corretas e o código ainda seja válido, a senha é alterada.

O e-mail gerado automaticamente aponta para o link

"...../admin/session/reset/FYLPB557EKLGMPV6IYNOT2TF5MZUZM2ZB6O43PEUH5XOHCTBX42TLMLJZHSHZKF77V4ZEXELICSAOHDNTJJ4R2Z67R4JZ4ST72JOVWKK2BQCKRFQMQWJNFF2LQIHJ55C7FH5GO3LIMH4WEF3J6HOU4AQQVG3LVBKV7O3DDARB6IQVCGGUFI6RUC2QUYEIOHH"

admin é meu namespace, session é o Controller, reset o método e o código é o parâmetro.

Para verificar se o código é válido, o banco retorna o ID do usuário que solicitou o reset, onde o "segredo" é idêntico ao código, isto é, se existir e se não tiver expirado (limite de 10 minutos). Note que este ID nunca é enviado para o cliente. Desta forma o bot ou pessoa que está tentando invadir, não saberá o ID do usuário e não haverá risco de um possível "tamper data" por exemplo.

Todo o processo utiliza o procotolo HTTPS.

A string é gerada aleatoriamente, só pode conter caracteres de A-Z0-9 e tem 192 caracteres, através da seguinte função (sendo concatenada, uma vez 128 e a segunda 32).

public function createSecretKey($secretLength = 128)
{
    $validChars = $this->_getBase32LookupTable();

    // Valid secret lengths are 80 to 640 bits
    if ($secretLength < 16 || $secretLength > 128) 
    {
        throw new Exception('Bad secret length');
    }
    $secret = '';
    $rnd = false;

    if (function_exists('random_bytes')) 
    {
        $rnd = random_bytes($secretLength);
    } 
    elseif (function_exists('mcrypt_create_iv')) 
    {
        $rnd = mcrypt_create_iv($secretLength, MCRYPT_DEV_URANDOM);
    } 
    elseif (function_exists('openssl_random_pseudo_bytes')) 
    {
        $rnd = openssl_random_pseudo_bytes($secretLength, $cryptoStrong);
        if (!$cryptoStrong) 
        {
            $rnd = false;
        }
    }
    if ($rnd !== false) 
    {
        for ($i = 0; $i < $secretLength; ++$i) {
            $secret .= $validChars[ord($rnd[$i]) & 31];
        }
    } 
    else 
    {
        throw new Exception('No source of secure random');
    }

    return $secret;
}

protected function _getBase32LookupTable()
{
    return array(
        'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', //  7
        'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', // 15
        'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', // 23
        'Y', 'Z', '2', '3', '4', '5', '6', '7', // 31
        '=',  // padding char
    );
}

O formulário para enviar o pedido de reset de senha possui limite de 1 envio a cada 10 minutos.

Considerando a lógica descrita, e que o sistema bloqueia a sessão e o IP a cada 10 tentativas incorretas, e invalida o código imediatamente quando o usuário recupera a senha ou após 10 minutos. Qual seria a possibilidade dessa URL ser quebrada por algum bot? Há algum ponto fraco nessa lógica que possa ser quebrada? (não falando a nível de código ou vulnerabilidades na programação, mas em termos de lógica).

3
  • 1
    Os bots geralmente preenchem todos os campo, inclusive os que são hidden, você pode colocar um campo hidden e se contiver algum valor você anula o token. Tem uma resposta sobre essa abordagem - muito útil por sinal. Commented 25/05/2017 às 10:05
  • E se dois pedidos de reset de senha de usuários distintos forem feitos nesse período? Pegando apenas o último registro da tabela, um deles será invalidado.
    – Woss
    Commented 25/05/2017 às 13:10
  • Desculpe, me expressei um pouco mal nesta parte. Editei a pergunta. Não há problema duas requisições simultâneas de usuários diferentes. 1 usuário só pode solicitar um novo código a cada 10 minutos. A questão de retornar a ultima linha foi uma verificação adicional que eu havia feito mas não havia necessidade de descreve-la aqui pois isso foi antes de acrescentar o critério de limitar 1 código a cada 10 minutos.
    – user35937
    Commented 25/05/2017 às 13:19

1 Resposta 1

4

Bem, existem exatamente 2^128 combinações possíveis, 340 undecilhões. Fazer tanta requisição assim em 10 minutos é um tanto quanto complicado, praticamente impossível de não ser detectado.


Entretanto existem algumas falhas, um pouco mais obscuras, que devem ser mencionadas, para a criação da "combinação":

  1. O ord e o sua array $validChars torna vulnerável por uma ataque side-channel, o timming-attack.

    O tempo que leva para que ele encontre o $validChars1[1] é diferente do tempo que encontra o $validChars1[32], o mesmo ocorre internamento com o ord. Sendo assim é possível que algum processo (muitíssimo) próximo ao servidor monitore isto e consiga descobrir qual foi a chave gerada.

  2. O seu servidor de e-mail está comprometido (ou do cliente).

    Uma vez que a mensagem é passada em texto plano um terceiro pode ver o que foi escrito, incluindo o URL, nesta situação não importa se este endereço é HTTPS ou HTTP.


Para a comparação (utilizar a "chave" gerada) pode haver outros problemas:

  1. O banco de dados pode entregar dados baseado também "pelo tempo".

    O tempo que o banco de dados leva para encontrar depende de quão próximo o valor seja. Isso indica que, supondo um FYLPB557EKL, fazer uma pesquisar por AAAAAAAAAAAAAA tende a retornar resultado mais rápido (com 0 linhas encontradas) do que pesquisar por FYLPB557EKA. Fazer isto remotamente é extremamente complicado, não sei se existe alguma prova deste conceito. A questão é ele usa memcmp() quando um bit é diferente ele ignora todo o resto, simplificadamente A é diferente de F na primeira letra o resto nem é comparado. Isso é bom porque faz o banco de dados ser rápido, mas não seguro.

  2. Uma falha no banco de dados de somente leitura quebraria o sistema.

    Supondo que haja uma falha no seu sistema que permita alguém ler o conteúdo do banco de dados (ou de onde armazene as informações geradas) iria entregar todas as informação em texto plano. Isso indica que tal pessoa seria capaz de alterar senhas de outras, uma vez que tem acesso aos dados da tabela.


Isso não indica que outros problemas não existam!

O ideal seria ter duas chaves distintas, de forma que:

  1. Cliente:
    • Recebe Chave A + Chave B

Lembres-se de "converter" em constant-time para uma representação desejada (Base64, HEX...), ou utilize unpack em último caso e utilize apenas o random_bytes.

  1. Seu servidor:
    • Armazena Chave A + HASH(Chave B)

Seria armazenado no seu servidor, no banco de dados, a HASH (podendo ser SHA2, SHA3, BLAKE, ou até mesmo BCrypt/Argon2i/SCrypt....), como também pode ser um HMAC. Alguns podem acreditar que por ser um número gerado por CSPRNG seria um "gasto" usar BCrypt/Argon2i/SCrypt para isto, mas use o que preferir.

Quando o usuário acessar o link procure usando a Chave A no banco de dados, se existir compare de maneira segura a Chave B.

Isto iria fazer com que:

  1. Se permitir que alguém leia os dados do banco ele terá posse das Chave A. Porém a outra, Chave B, terá apenas a HASH resultante dela, o que é insuficiente. Em outras palavras, a Chave B ainda é segura e conhecida apenas pelo cliente que solicitou a redefinição.

  2. Se alguém ainda conseguir "acertar" a Chave A, comum aos dois, ainda restará a Chave B, esta deve ser comparada em constant-time, usando hash_equals() ou password_verify().


Além disso poderá adicionar algumas coisas "extras", que geralmente não possuem alto custo de implementação, já existem bibliotecas próprias para isto.

Cliente:

  • Permita que envie uma chave GPG, assim ele poderá receber e-mails criptografados, até o Facebook faz isso.
  • Permita que utilize 2FA, um código de uso único gerado por software (ex. Google Authenticator) ou hardware (ex. Yubikey).

Estabeleça uma politica de perda, isso é se o usuário chave/hardware GPG/2FA o que será feito. Em geral perda do acesso a conta é o mais seguro, uma vez que torna-se impossível provar que ele é quem diz ser.

Servidor:

  • Verifique se o IP que está redefinindo a senha já acessou a conta alguma vez e é quem solicitou a redefinição, ou se o IP é de locais próximos aos que acessam a conta.
  • Envie sempre o cabeçalho de HSTS para forçar sempre utilizar HTTPS, antes da requisição sair do navegador.
  • Como já é feito, crie um rate-limit, limitando o número de tentativas que podem ser feitas por IP.
2
  • Excelente resposta! Preciso pesquisar sobre várias coisas que desconhecia a respeito.
    – user35937
    Commented 25/05/2017 às 22:43
  • Sua resposta me fez criar outra pergunta. Como achei que fosse um tanto quanto fora do contexto desta pergunta, criei outra, se puder responde-la, ficarei grato. pt.stackoverflow.com/questions/207650/…
    – user35937
    Commented 25/05/2017 às 22:57

Você deve fazer log-in para responder a esta pergunta.