1

Então, minha duvida é a seguinte, qual o melhor método para se criar uma "sessão" de logado para o usuário.

Eu aprendi a criar essa sessão usando JWT em cookie, porém o cookie é acessível pelo navegador, e lá tem algumas informações como o 'id' do usuário que uso para dar alguns SELECT no site.

Eu fiz validação, coloquei até uma criptografia que um amigo me mandou, que deixou mais seguro doq só usar base64.

Porém consigo fazer a mesma coisa usando SESSION.

Qual o melhor método para criar esse status de "logado" e o porquê?


Eu faço essa pergunta pois quero aprender o método mais leve para o servidor, e o mais seguro, não me sinto tão confortável em deixar que o usuário possa acessar as informações no cookie.

1

2 Respostas 2

2

Bom dia amigo, SESSION é gerenciada pelo PHP. não há necessidade de criptografar pois os dados da session não ficam disponíveis no navegador.

Contudo aconselho você manter JWT e não utilizar SESSIONS. A SESSION fica amarrada ao IP do cliente e ao servidor, isto atualmente te deixa limitado, por exemplo, se o seu cliente estiver utilizando um celular e ele trocar de rede (3G para wifi ou 3G para 4G) o IP dele irá mudar e com isso perderá a SESSION, e você precisa solicitar novo login pra ele. Outra situação é o seguinte, vamos supor que seu cliente se logou no servidor que está no Brasil porém você precisa redirecioná-lo à outro servidor que está no EUA, neste caso se você estiver usando SESSION o servidor dos EUA não terá acesso aos dados da SESSION, já se você usar o JWT sim.

JWT é mais moderno e surgiu para resolver estes problemas que havia com SESSIONS.

Utilize criptografia forte no JWT, se possível force seu cliente a utilizar HTTPS e não aceite requisições por HTTP, pois de nada adianta você utilizar criptografia forte no JWT se ele puder ser interceptado no HTTP. Caso você precise utilizar HTTP por segurança é melhor realizar validação do IP do seu cliente e utilizar técnicas de fingerprint (https://amiunique.org neste site você pode conhecer sobre fingerprint ).

2
  • 1
    Sim, o amigo que me ensinou sobre me mandou uma classe para buscar a versão do browser, por isso eu verifico se IP é o mesmo, e se a versão é a mesma, tanto quanto a validação do token. Você me ajudou muito, realmente não sabia desses problemas com a Session, muito obrigado.
    – John Covv
    Commented 22/04/2019 às 15:48
  • "SESSION fica amarrada ao IP do cliente", o padrao do PHP amarra ao cookie, nao ao IP...
    – Inkeliz
    Commented 19/05/2019 às 14:26
0

Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.


Irei focar apenas na sua pergunta de:

"quero aprender o método mais leve para o servidor".

Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ..., como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ... seria mais rápido.

"e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes(), ou session.entropy_file = /dev/urandom no caso do PHP padrão). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS (usando o session.use_only_cookies = 1 no PHP padrão)... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre. Se você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.

5
  • Cabe ao backend controlar o prazo de expiração de um JWT. inclusive pode-se utilizar valor diferente para cada JWT (por exemplo se for HTTPS manter o JWT por 24 horas, HTTP 30 minutos) em contra partida a SESSION tem prazo fixo no PHP independente do método. Commented 21/05/2019 às 14:41
  • @MárcioRossato, não é prazo de validade. Quando você altera sua senha é esperado que todas as sessões autorizadas sejam removidas. Entretanto como ele diz: "como o 'id' do usuário que uso para dar alguns SELECT no site", portanto um JWT corretamente assinado será para sempre será válido para aquele usuário. Se você adicionar outras coisas, como um "id de sessão" e fazer um "SELECT id_user WHERE id_sess = ?", metade do proposito do JWT foi embora, poderia remove-lo e fazer o SELECT direto. Se read-only é um problema, basta um hash(id_sessao) para procurar, e o usuário ter pré-imagem da hash.
    – Inkeliz
    Commented 21/05/2019 às 15:19
  • Mas trocar a senha também não "mata" uma SESSION. Talvez estejamos falando de situações diferentes. Acredito que o que você imagina de JWT seja diferente do que eu penso. Talvez o mesmo ocorra quando falamos em SESSION. De qualquer forma, acredito que o mesmo recurso que se utiliza para "matar ou validar" a SESSION quando o usuário troca as senha também pode ser aplicado em JWT. Commented 21/05/2019 às 22:46
  • @MárcioRossato, pode ser aplicado, mas mata o proposito do JWT. O JWT é feito para que tal sessão seja validada apenas verificando a assinatura/derivação do próprio JWT. Se você exige outros mecanismos para validar, qual o sentido de usar JWT em primeiro lugar? Nenhum. Se você adicionar outros dados de validação dentro do JWT você pode simplesmente remover o JWT... No caso do padrão do PHP você pode dar um unlink na lá na pasta tmp usando o id da sessão previamente associada ao usuário, se usar o padrão. Se estiver usando o session_set_save_handler você já tem um destroy() para tal.
    – Inkeliz
    Commented 21/05/2019 às 23:03
  • o sentido de usar o JWT são os 2 que eu citei na resposta, permitir mobilidade no lado cliente e no lado do servidor. Agora, se a aplicação roda em um ambiente local, vpn, intranet ou algo do tipo. acredito que não faz sentido investir em JWT mesmo não. usa as sessions que é mais fácil. Commented 23/05/2019 às 13:24

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .