0

Estou criando um site, e não sei bem como garantir a segurança do meu banco de dados. Atualmente tenho uma pasta "Seguranca" com o arquivo connection.php que faz a conexão com o BD. Dou um include nesse arquivo em todos as páginas que preciso de conexão. A questão é: Qual a maneira certa de acessar o BD? Esse arquivo está seguro?

O arquivo de conexão:

<?php $databaseHost = 'meu host';$databaseName = 'meu bd';$databaseUsername = 'meu user';$databasePassword = 'meu password';$mysqli = mysqli_connect($databaseHost, $databaseUsername, $databasePassword, $databaseName);?>

Nas páginas que preciso, só vai o include ("seguranca/connection.php");

1
  • 2
    De mais detalhes, qual método você conecta? Algum padrão? Como você faz? Qual problema de segurança você está falando? XSS, CSRF, SQL INJECTION? Não dá para calcular sem ter as variáveis. Tente editar para dar mais informações Commented 28/06/2017 às 15:11

1 Resposta 1

1

Apenas responda:

Se o seu código tivesse que ser exposto ao público a qualquer momento, ele iria expor as credenciais?


Se você faz:

$login = 'usuario'
$senha = 'minhasenha';

Isso nunca será uma boa ideia, isso inclusive é chamado de hard-coded password e também tem os seus amigos, o hard-coded cryptographic key. Logico que armazenar no código a chave pública (capaz apenas de criptografar e verificar assinaturas) em geral não é má ideia, mas não é este o caso.


Uma das alternativas muito simples é utilizar o getenv() que obtem um user environment variable, um exemplo:

$pdo = new \PDO(
    'mysql;host=100.100.100.100;dbname=banco_de_dados',
    getenv('MYSQL_USUARIO'),
    getenv('MYSQL_SENHA')
);


$mysqli = new \mysqli('100.100.100.100', 
     getenv('MYSQL_USUARIO'),
     getenv('MYSQL_SENHA'),
     'banco_de_dados'
);

Obviamente é necessário defina a variável de ambiente no servidor de produção antes e apenas ele deve ter essa informação.

Isso também é feito para chaves de APIs, por exemplo:

$proof = hash_hmac('sha256', $fbToken, getenv('FACEBOOK_SECRET'));

$curl = curl_init('https://graph.facebook.com/me/accounts?appsecret_proof=' . $proof . '&access_token=' . $fbToken');
//...

Nota: o sha256 está definido direto no código por que é o único método suportado pelo Facebook.


Usando o getenv() mesmo se o seu código for exposto tanto as senhas do banco de dados quanto a secret key do Facebook estão seguros, neste exemplo. Além disso é ideal que use servidores fisicamente distintos, um para o PHP e outro servidor para o MySQL.

Já se definir $senha_do_banco = '123456789' seu o seu código exposto causará problemas bem maiores, dando as informações do banco de dados e chave da aplicação do Facebook.

Além disso o seu servidor de produção terá (e deve ter!) senhas diferentes do desenvolvimento. Uma vez a variável de ambiente é definida cada servidor terá senhas diferentes sem necessidade de alterar o código sempre.


Além disso, fazer isso:

index.php

include('conexao.php');
echo 'Você está no index';

É inútil, se o interpretador falhar (ou for forçado a falhar) o "usuário" pode ir em site.com/conexao.php e vai obter as informações, embora que isso pode ser considerado "raro".

Colocar o arquivo em um local não acessível, seria menos pior usar:

index.php

include('../conexao.php');
echo 'Você está no index';

Recomendo que leia:

2
  • faço do jeito que vc disse, declarando as variáveis no arquivo de conexão, mas não entendi como o getenv seria mais seguro, já que as variáveis tb são declaradas no mesmo arquivo. Ou entendi errado?
    – Marceloawq
    Commented 28/06/2017 às 16:21
  • Entendeu errado. O getenv obtêm uma variável do ambiente. Por exemplo no Windows 10 você pode definir em "Editar as variáveis do ambiente do usuário", pesquisando no iniciar, e definir a variavel. Eles estarão fora do seu código e serão acessíveis dentro dele. Se você criar uma variavel de usuário no Windows de "FACEBOOK_SECRET" (ou um nome qualquer) você poderá acessa-lo dentro do PHP.
    – Inkeliz
    Commented 28/06/2017 às 16:40

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .