3

Estou trabalhando em um projeto, e o back-end (java), está totalmente separado do front-end, e eles se comunicam por REST.

Minha dúvida é, vamos começar a trabalhar na área de autenticação, e queria saber se é possível controlar a autenticação através de cookies ou session, utilizando apenas JavaScript, e se possível existir alguma referência bacana.

6
  • está usando algum framework MV* ?
    – Caputo
    2/07/2014 às 17:52
  • @Caputo não, nenhum framework. Se for possível fazer isso sem a utilização de framework seria ainda melhor. 2/07/2014 às 18:25
  • 3
    Você pode utilizar OAuth ou Token Authentication e utilizar o store do HTML para armazenar o token em cada navegador
    – Caputo
    2/07/2014 às 18:42
  • 1
    Estão em inglês mas, para OAuth (oauth.net/code) e HTTPAuthentication (peej.co.uk/articles/http-auth-with-html-forms.html)
    – Caputo
    3/07/2014 às 17:48
  • 1
    Obrigado @Caputo 4/07/2014 às 12:38

1 Resposta 1

4

Você não vai poder fazer a sua autenticação usando apenas Javascript. Alguma parte do processo de autenticação vai ter que ser feita no servidor, uma vez que você não pode confiar que o cliente vai executar o código que você mandou pra ele (um cliente malicioso pode fazer requisições HTTP diretamente se ele quiser).

Em primeiro lugar, vamos nos lembrar do que o nosso sistema de autenticação tem que fazer:

  1. Associar dados à seção do usuário (nome do usuário logado, quando a seção expira, itens no carrinho de compra, etc)

  2. Apenas o servidor pode criar uma "seção". Usuários não podem se autenticar sozinhos.

  3. Os dados da seção não podem ser modificados pelo usuário. Por exemplo, não queremos deixar que eu me autentique como hugomg no seu site mas depois mude o campo username do cookie para EricoSouza e faça compras em seu nome.

Armazenando a seção no servidor

A maneira mais simples de manter seções é manter todos os dados no servidor. Assim, os requisitos (1) e (3) vem de graça. A idéia básica é que quando o cliente se autentica1, você gera um identificador de sessão difícil de adivinhar2 o manda para o cliente3. O cliente pode guardar o identificador num cookie4 ou onde for mais conveniente e o seervidor mantém os dados da secão numa tabela indexada por esses identificadores:

123434561234 -> nome:Erico  sessao-expira: ...
467235895637 -> nome:hugomg sessao-expira: ...

Como é difícil adivinhar o identificador de seção e como você mostra o identificador apenas para o usuário correto, seu servidor pode confiar que o usuário está autenticado se ele apresentar um identificador que está na tabela.

1 Usando usuario+senha ou chaves criptográficas ou o que você bem entender

2 Use um número aleatório bem comprido, gerado usando um gerador de números criptograficamente seguro e imprevisível. Não use um contador 1,2,3 e não use rand()

3 Use https, ou qualquer um na wifi do cliente que tiver o Firesheep instalado vai poder enxergar o identificador dele e roubar a seção.

4 Uma boa idéia é marcar o cookie como HttpOnly, por segurança extra.

Armazenando a seção no cliente

Se, por razões de performance, você não quiser ou não puder armazenar os dados de sessão no servidor você vai ter que passar essa responsabilidade para o cliente e encontrar uma forma de proibir o cliente de mexer nos dados que você passa pra ele. Uma forma de fazer isso é usando um Message Authentication Code (MAC), que é um hash dos dados da seção que só pode ser computado pelo servidor1 2.

Uma versão concreta disso é usar um cookie com dois campos: um com os dados da seção codificados em JSON e outro com o MAC computado pelo servidor:

session={"nome":"Erico","expira":""};
MAC=1253712536127354;

Os requisitos (1) vem de graça, já que os dados da seção são reenviados em toda requisição. O requisito (2) é cumprido pois apenas o servidor pode computar o MAC e o requisito (3) vale pois apesar de o usuário poder ver os campo da seção, ele não tem como alterálos pois isso exigiria recomputar o MAC.

1 O calculo do MAC usa uma chave secreta que apenas os seus servidores conhecem.

2 Assim como qualquer outra coisa criptográfica, use alguma biblioteca pronta para calgular esse hash, pois é muito fácil criar uma implementação insegura. A sugestão mais comum é usar o método HMAC com a função de hash SHA-256 ou SHA-1


Uma boa referência é essa pergunta no security.stackexchange

https://security.stackexchange.com/questions/30707/demystifying-web-authentication-stateless-session-cookies

4
  • Valeu @hugomg isso já me ajuda muito e esclareceu mais do que minhas dúvidas. É uma ótima resposta, obrigado. 3/07/2014 às 12:00
  • tudo bem? Cara o que você me sugere na questão de "Use um número aleatório bem comprido, gerado usando um gerador de números criptograficamente seguro e imprevisível." ? 21/07/2014 às 14:43
  • @EricoSouza: Um CSPRNG é uma coisa que vc vai querer pegar pronto em uma biblioteca ou no seu sistema operacional. Depende da linguagem que vc tiver usando (se me lembro bem em Java tem uma API SecureRandom que vc pode usar). O importante é que seja impossível para um usuário adivinhar quais os próximos números gerados usando a informação dos números que eles receberam.
    – hugomg
    21/07/2014 às 16:39
  • cara, obrigado pela ajuda novamente, estou usando java, vou procurar essa API. Seguindo os passos que você me explicou essa é uma das partes mais importantes que ainda me falta fazer. Já consegui estabelecer a comunicação entre o servidor e o cliente, agora quero gerar a chave para fazer o gerenciamento. Obrigado. 21/07/2014 às 17:51

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .