0

Estou estudando como é o login/logout usando PHP PDO.

Esse código entendi: https://github.com/setyongr/pdo-login-tutorial, estou usando ele como referencia.

Mas tenho as seguintes duvidas:

  • O que devo levar em consideração para saber se o login e a sessão são seguros?

  • Claro que tem a importancia de fazer a validação, sanitizar os dados, mas... e alem disso, o que posso fazer para o sistema ser mais seguro?

1

2 Respostas 2

2

Se realmente considerar "segurança" essa biblioteca já possuí problemas por si só e outras que podem ser criadas por você.


Senha sem filtro de nulo (0x00)

O uso do $hashPasswd = password_hash($password, PASSWORD_DEFAULT); supondo que o $password seja uma senha informada pelo usuário, como usado aqui, é um problema.

O PHP tem grandes problemas com bytes nulos, ele sempre teve problemas com isso e aparentemente sempre vai ter. Não é de hoje. O PHP já foi até vulnerável a nulos no include() que permitia remover a extensão do arquivo.

No caso do password_hash() se o usuário informar a senha 123%004567 na verdade essa seja é igual à 123, a string será interrompida no 0x00.

Se quiser uma prova disto:

var_dump(password_verify('a', password_hash(pack('H*', '6100626364'), PASSWORD_DEFAULT)));
// Resposta: True

Não há qualquer proteção de CSRF

Vou dar como exemplo a página de logout. Eu posso simplesmente fazer um <img src="https://seusite.com/logout.php"> no meu site e quando o usuário acessar ele vai desconectar do seu website.

Uma maneira simples de resolver é criar um CSRF-Token, um código único e impressível (para o atacante) e compara-lo de maneira segura.

Em outras palavras:

if(!hash_equals($_SESSION['CSRF'], $_GET['CSRF-Token'])){
    echo 'Token errado';
}

O $_SESSION['CSRF'] seria gerado usando $_SESSION['CSRF'] = unpack('H*', random_bytes(64)[1]);, então o cliente deveria enviar este código para que pudesse fazer o logout.

O mesmo se aplica para todas as outras operações do website. Você também pode um código para cada atividade, assim que o usuário acessar o website, assim como pode derivar a chave especifica para cada página acessada.


Pode haver outros erros. Um exemplo é a ausência de filtros (o e-mail pode ser qualquer string arbitrária, que não é uma e-mail) e não há confirmação se o e-mail é verdadeiro, por exemplo.

Além disso a sessão é estática (não faz uso do session_regenerate_id). A dificuldade do BCrypt é o padrão (10, particularmente acho bem baixo) e não faz uso do password_needs_rehash que poderia ser usado para aumentar a dificuldade de senhas antigas (quando o usuário fosse acessando).


Depois, vem a sua pergunta:

O que devo levar em consideração para saber se o login e a sessão são seguros?

Várias coisas, mas vou mencionar o que considero mais importante:

  1. Impedir que um script malicioso leia os cookies da sessão, a sessão do PHP utiliza um cookie de identificação (PHPSESSID) se alguém tiver acesso a ele terá acesso a conta conectada.

  2. Impedir que um atacante consiga definir o cookie que a vitima vai utilizar. Similar ao que ocorre no "1", porém agora ao invés do atacante ler o cookie ele faz a vitima usar o cookie de sua escolha.

  3. Impedir que alguém que intercepte os pacotes da rede consiga ver as informações. Especificamente você deve fazer algo para que não consiga obter os identificadores de sessão. Assim como na pior das hipóteses impedir que o usuário se conecte num website falso.

  4. Impedir que um website externo abuse dos cookies já de iniciado por você, um website externo deve ser incapaz de utilizar uma sessão aberta, se não estará exposto a um CSRF, mencionado no exemplo acima.

  5. O identificador da sessão (o cookie, o PHPSESSID) deve ser impressível e forte o suficiente para evitar que alguém entre em outras contas.

Lógico, impedir que atacante entre no servidor e tenha acesso a pasta onde as sessões são armazenadas. Em geral, acho que comentei sobre esses problemas aqui.


Claro que tem a importancia de fazer a validação, sanitizar os dados, mas... e alem disso, o que posso fazer para o sistema ser mais seguro?

Acho que respondi acima. Existem N coisas que podem deixar o sistema inseguro ou seguro, muitas delas podem nem estar no código em si, mas no ambiente ao redor dele.

1
  • Excelente resposta, muito obrigada deu pra ter uma base do que vou precisar estudar. Voce tem alguma referencia de material de estudo sobre CSRF, PHPSESSID, algum site que faça abordagem pratica do assunto?
    – Gislef
    19/09/2017 às 17:41
0

Eu utilizo Rule que são regras cada tipo usuário nos meus sistemas possuem uma rule, se for um administrador recebe ex rule=0 ou um usuário normal rule=1 e assim faço a checagem se esse usuário possui tal permissão para estar na quele local do sistema se não redireciono para a pagina principal, utilizo também:

    <?php 
        session_start();
        if(!$_SESSION['logado']){
            echo "
            <script type=\"text/javascript\">
                alert(\"Entre com um Usuario Valido!\");
                location.href='login.php';		
            </script>";
        }
        
    ?>

2
  • Obrigada Tulio, mas levando em cosideração o exemplo que citei, somente essa classe de usuario, que possui validação do usuario, email e sessão é segura? Estou achando tão pouco, frameworks PHP parecem utilizar diversas formas de segurança, queria entender o que mais posso levar em consideração nesse sentido
    – Gislef
    17/09/2017 às 4:11
  • então levando em consideração a validação PDO que li no git cara está tudo ok o mas no mais e voce que tem que implementar como disse a cima, criptografando as informações validando session etc. 17/09/2017 às 4:40

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .