Estou reforçando um sistema de autenticação, onde na parte de recuperação de senha, implementei da seguinte forma.
- O usuário informa o endereço de e-mail.
- Caso exista, o e-mail é enviado (ver exemplo abaixo).
- O usuário clica no e-mail e vai até a página de recuperação (através de URL com código)
- O código é preenchido automaticamente em um campo hidden do formulário (sanitização e escape ok).
- Caso o usuário digite as duas senhas corretas e o código ainda seja válido, a senha é alterada.
O e-mail gerado automaticamente aponta para o link
"...../admin/session/reset/FYLPB557EKLGMPV6IYNOT2TF5MZUZM2ZB6O43PEUH5XOHCTBX42TLMLJZHSHZKF77V4ZEXELICSAOHDNTJJ4R2Z67R4JZ4ST72JOVWKK2BQCKRFQMQWJNFF2LQIHJ55C7FH5GO3LIMH4WEF3J6HOU4AQQVG3LVBKV7O3DDARB6IQVCGGUFI6RUC2QUYEIOHH"
admin
é meu namespace, session
é o Controller, reset
o método e o código é o parâmetro.
Para verificar se o código é válido, o banco retorna o ID do usuário que solicitou o reset, onde o "segredo" é idêntico ao código, isto é, se existir e se não tiver expirado (limite de 10 minutos). Note que este ID nunca é enviado para o cliente. Desta forma o bot ou pessoa que está tentando invadir, não saberá o ID do usuário e não haverá risco de um possível "tamper data" por exemplo.
Todo o processo utiliza o procotolo HTTPS.
A string é gerada aleatoriamente, só pode conter caracteres de A-Z0-9 e tem 192 caracteres, através da seguinte função (sendo concatenada, uma vez 128 e a segunda 32).
public function createSecretKey($secretLength = 128)
{
$validChars = $this->_getBase32LookupTable();
// Valid secret lengths are 80 to 640 bits
if ($secretLength < 16 || $secretLength > 128)
{
throw new Exception('Bad secret length');
}
$secret = '';
$rnd = false;
if (function_exists('random_bytes'))
{
$rnd = random_bytes($secretLength);
}
elseif (function_exists('mcrypt_create_iv'))
{
$rnd = mcrypt_create_iv($secretLength, MCRYPT_DEV_URANDOM);
}
elseif (function_exists('openssl_random_pseudo_bytes'))
{
$rnd = openssl_random_pseudo_bytes($secretLength, $cryptoStrong);
if (!$cryptoStrong)
{
$rnd = false;
}
}
if ($rnd !== false)
{
for ($i = 0; $i < $secretLength; ++$i) {
$secret .= $validChars[ord($rnd[$i]) & 31];
}
}
else
{
throw new Exception('No source of secure random');
}
return $secret;
}
protected function _getBase32LookupTable()
{
return array(
'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', // 7
'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', // 15
'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', // 23
'Y', 'Z', '2', '3', '4', '5', '6', '7', // 31
'=', // padding char
);
}
O formulário para enviar o pedido de reset de senha possui limite de 1 envio a cada 10 minutos.
Considerando a lógica descrita, e que o sistema bloqueia a sessão e o IP a cada 10 tentativas incorretas, e invalida o código imediatamente quando o usuário recupera a senha ou após 10 minutos. Qual seria a possibilidade dessa URL ser quebrada por algum bot? Há algum ponto fraco nessa lógica que possa ser quebrada? (não falando a nível de código ou vulnerabilidades na programação, mas em termos de lógica).