0

Criei um sistema de segurança em php com mysql para meu website, porém pelo navegador em computadores desktop, a sessão é armazenada em cookies, e fica fácil saber qual usuário está logado e quais suas limitações em cada consulta, já q terei administradores, e usuários comuns que possam ser logado nesse sistema.

Agora como posso fazer isso em aplicativos mobile de um modo seguro??

Por enquanto estou aprendendo e desenvolvendo apenas pelo android, mas pretendo criar futuramente em IOS e Windows Phone também.

Eu criei uma active simples de login e senha no android, onde é setado apenas como true ou false, para identificar quando o usuário está logado ou não.

Agora alguém tem alguma ideia, do que pode ser feito, para que eu possa armazenar de forma segura quem é o usuário que está logado no celular, quando for fazer uma consulta em MYSQL no meu website?

Pq eu sei que no aplicativo da pra deixar o usuário logado permanentemente, e não através de sessão como num navegador pelo desktop.

O meu medo é que qualquer usuário que tenha acesso root no celular, poderá acessar os arquivos de banco de dados do aplicativo no celular, e poderá modificar as informações com facilidade. Se alguém tiver alguma maldade, facilita muito para que tente hackear uma senha criptografada, já que teria q ter um hash armazenado no aparelho.

E também como eu poderia saber pelo meu sistema qual usuário está logado, ja que não terei como utilizar sessions em php.

Talvez a solução seja simples, mas eu estou totalmente perdido nessa questão. Alguém ja fez algo parecido, e conhece uma forma realmente segura de ter essa comunicação entre o aplicativo e o website, assim como fazem os aplicativos do google, facebook, instagram e etc?

5
  • Podes utilizar o Json Web Token - JWT para autenticação. Commented 11/09/2017 às 16:55
  • Obrigado @FilipeMoraes, acho que isso não vai resolver meu problema, pq meu caso é bem complicado. Mas vou tentar verificar como essa ferramenta funciona e ver se é possível adaptar. Valew. Commented 11/09/2017 às 17:22
  • Mas se você não verificou como funciona, como chegou a conclusão de que não resolve o seu problema? Que parte a solução proposta não resolve? Commented 11/09/2017 às 17:23
  • Eu entrei no site antes de te responder, e verifiquei que seria uma solução de criptografia junto com base encode e decode, e etc. Ainda não vi totalmente como funciona, se é um script que será armazenado no meu servidor, ou se são dados armazenados no servidor deste site. E tbm tem a questão de tempo de execução, velocidade das informações, e sobrecarca de servidor quando tiver milhares de requisições em pouco tempo. Pensava em não utilizar API´s e criar uma comunicação mais direta para ter um desempenho melhor, mas vou dar uma olhada melhor nesse site e ver as vantagens e desvantagens. Commented 11/09/2017 às 17:28
  • Prontinho amigo @FilipeMoraes, acho que encontrei uma solução bem segura, criei uma resposta aqui explicando minha idéia, da uma olhadinha e ve o q vc acha: pt.stackoverflow.com/a/236841/89580 Commented 13/09/2017 às 1:42

2 Respostas 2

5

Existem vários níveis de persistência de dados nas aplicações Android, no qual você pode salvar sua autenticação. Uma delas é o SharedPreference, no qual funciona como se fosse um Session do PHP, ou até mesmo o localStorage no JavaScript. Veja aqui como Salvar valor usando SharedPreference e aqui na documentação como Como usar preferências compartilhadas.

As SharedPreferences são utilizadas em situações onde não há necessidade de criação de um banco de dados, ou até mesmo quando há pouco número de dados a ser armazenado. Mas como você, de acordo com seu questionamento, deve conhecer bem, nunca deve-se salvar as suas senhas usando essas opções (Session, localstorage, etc), no entanto você pode armazenar o e-mail do usuário gerar um token que possa expirar de tempos em tempos, gerando um novo token.

Leia mais detalhes na documentação sobre opções de armazenamento.

20
  • Então o meu problema não está no armazenamento, isso pra mim é tranquilo, mas sim no modo de armazenamento, na criptografia e segurança. Pq no desktop via session, eu deixo no lado servidor as informações sobre o usuário logado, como por exemplo se ele é um administrador ou não, e os codigos de acesso dele, coisas q eu não poderia deixar no lado cliente. Em android, se eu não deixar no modo cliente, eu sou obrigado a fazer uma consulta via mysql, como um novo login toda vez que o usuário fizer uma ação, o q no meu caso creio q poderá sobrecarregar o servidor. Commented 11/09/2017 às 17:19
  • Então preciso saber como armazenar dados q deveria ficar do lado do servidor, no lado do cliente, mas de forma q o cliente não tenha como modificar, nem utilizando acesso root ao celular dele. Um modo q não sobrecarregue o servidor com centenas de consultas só para verificar a autenticidade do usuário. Entende o q quero dizer?? Commented 11/09/2017 às 17:20
  • Entendi o que quis dizer, mas como eu disse, você pode gerar um token e modifica-lo de tempos em tempos. Se a duvida é em como gerar um token, acho que a sugestão do @filipe-moraes não seria uma má opção para resolver o problema.
    – viana
    Commented 11/09/2017 às 17:27
  • Sim mas por exemplo, quando o usuário faz o login, eu armazeno no session, o codigo do usuário, dados basicos como nome, email, e etc, e codigos de acessos em array, que poderá ter uns 10, 20, 50 codigos dependendo do usuário. No desktop o session é util pq cada requisição do usuário, não é preciso fazer uma nova busca no banco de dados, ja que é tudo calculado pelo lado do servidor. Mas esses outros métodos ou vai me obrigar a consultar o banco de dados a cada requisição, ou talvez sobrecarregar o servidor para descriptografar tudo. Commented 11/09/2017 às 17:34
  • Detalhe q terei mais de 200 mil usuários. onde pelo menos uns 80 mil poderão acessar ao mesmo tempo. Fico pensando se é uma boa solução ter 80 mil pessoas, fazendo ações ao mesmo tempo onde toda vez que for fazer uma nova ação, ter q descriptografar dados, podendo ter centenas de ações só para criptografia em pouco tempo para cada usuário. Estou pensando em talvez criar um arquivo json temporario ja descriptografado no lado servidor, e utilizar o token só pra saber o nome do arquivo, assim evitar o problema de criptografar cada item. Talvez funcione. Commented 11/09/2017 às 17:38
0

Bom, depois de pesquisar bastante, eu tive uma ideia, mas ainda não desenvolvi, mas creio que pode dar bastante certo.

Meu problema seria um hacker descompilar o aplicativo com acesso root no celular e ter informações de códigos administrativos que deveriam ficar apenas do lado do servidor. E também evitar centenas de consultas no banco de dados a cada ação para buscar os códigos novamente.

O SharedPreferences também seria uma péssima solução para este caso, já que ele é super fácil de ser pego por qualquer pessoa com acesso root no celular.

Utilizar apis de terceiros, também não seria uma boa solução, pq dependeria de outros servidores, o q deixaria meu aplicativo mais lento. Então gostaria de uma solução mais direta.

Então pensei que talvez eu poderia armazenar no meu servidor 3 tipos de códigos, 1 código único do aparelho de celular do usuário que se cadastrou no meu sistema, então encontrei isso aqui que pode ajudar muito:

Identificador único dispositivo android

Depois mais 1 código da versão do aplicativo, para segurança de que se caso alguém descompilar meu aplicativo e criar outro usando a mesma fonte, eu posso mudar esse código na próxima versão, dificultando o hacker a ter q descompilar tudo novamente a cada atualização.

E mais 1 código de token, que muda a cada ação, dificultando que a ação possa ser utilizado por dois aplicativos com o mesmo usuário ao mesmo tempo.

Logico que isso não impede ainda que alguém consiga roubar a sessão de login mas pelo menos dificulta bastante.

Do lado do servidor eu tinha problemas com o session que cada vez que o navegador é fechado ele é excluído também. E com ações direto pelo aplicativo mobile, eu não tinha como manter o session ativo. Então descobri q o PHP tem um modo de reescrever a classe do session.

http://www.php.net/manual/en/function.session-set-save-handler.php

Então dessa forma eu vou reescrever uma versão de session que vai funcionar apenas para mobile. No desktop continuará o session da mesma forma original, mas estou criando uma nova classe, e um arquivo de execução mobile, onde cada vez que o meu aplicativo for fazer uma ação vai ser através desse novo arquivo, tendo uma sessão própria que ficará sempre ativa no servidor, impedindo assim que o usuário consiga ter acesso aos códigos administrativos que não posso armazenar dentro do celular do usuário.

Ainda não testei tudo, mas acho que está sendo a melhor solução no momento.

5
  • Não creio que session_set_save_handler resolva o problema de fechar o browser, na verdade sessões são assim fecha ele expira, no entanto você pode controlar o tempo de vida dos cookies de sessão sem precisar reimplementar a coisa toda, basta entender o comportamento HTTP e a diferença dos tipos de cookies, é possivel manipular cookies de sessão para não expirar.
    – Syzoth
    Commented 22/09/2017 às 17:38
  • Então @GuilhermeNascimento, eu fiz uma nova classe reescrevendo o session handler, e acabou dando certo pra mim. Pq agora eu tenho todas as sessions gravadas num banco de dados, e aumentei pro session ser excluido apenas se ficar 2 semanas seguidas sem acesso. Assim mesmo q o usuário feche o navegador e fique um tempo sem usar, a session não é excluída. E junto com dados unicos do aparelho do usuario, eu crio um token q verifica se aquela session está sendo sempre acessada do mesmo aparelho e do mesmo aplicativo. Estou fazendo testes e por enquanto ta dando tudo certo pra mim. Commented 22/09/2017 às 20:31
  • Fernando, eu posso estar enganado, mas creio eu que você apenas reinventou a roda, e que você poderia ter feito um simples ajuste nos cookies, mas não vou entrar em detalhes, se funcionou pra ti ok, desejo-lhe sorte e sucesso.
    – Syzoth
    Commented 23/09/2017 às 1:01
  • Obrigado pela sua opinião @GuilhermeNascimento, mas não foi reinventar a roda rsrs, seria se eu fizesse todo um trabalho pra ter uma mesma forma de execução. Mas foi reprogramar a roda. Eu mudei a forma dos sessions ser armazenado em uma pasta temporaria do php, para ser armazenado no banco de dados. O q me facilita muito na manipulação dele dando mais recursos do q a forma básica dava. Fica mais fácil inclusive para monitorar possíveis futuros ataques no servidor. É apenas mais uma forma de ter controle total sobre o sistema. Commented 23/09/2017 às 9:33
  • Sobre os cookies, se vc acha que um ajuste simples resolveria, me fala mais sobre como vc acha q poderia dar certo. Talvez conhecendo sua forma de ver o problema, eu possa ter novas soluções. Adoraria saber como vc resolveria esse caso. Lembrando que colocar os cookies para ser requisitado apenas por HTTP ou em segurança ssl, já estão configuradas, e colocar os cookies para não expirar tbm ja foi colocado. Commented 23/09/2017 às 9:39

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .