Tema: [Aporte] Seguridad básica en PHP
Ver Mensaje Individual
  #5 (permalink)  
Antiguo 06/09/2012, 05:44
Avatar de Triby
Triby
Mod on free time
  
Fecha de Ingreso: agosto-2008
Ubicación: $MX->Gto['León'];
Mensajes: 10.106
Antigüedad: 15 años, 8 meses
Puntos: 2237
Respuesta: [Aporte] Seguridad básica en PHP
Novena Parte -> Manejo de usuarios

Para tratar de proteger las sesiones es conveniente que en cada cambio de estado (login y logout) generemos una nueva id de sesión y eliminemos las variables que no serán necesarias:

Código PHP: 
Ver original
  1. session_start();
  2.  
  3. // Ingreso de usuario
  4. function login($id, $usuario, $correo, $rol) {
  5.     // Se supone que ya verificamos que los datos son correctos
  6.     // Creamos una nueva id de sesión y eliminamos la anterior (true)
  7.     session_regenerate_id(true);
  8.  
  9.     // Creamos sólo las variables que necesitaremos
  10.     $_SESSION = array(
  11.         'usuario' => array(
  12.             'id' => $id,
  13.             'nombre' => $usuario,
  14.             'correo' => $correo,
  15.             'rol' => $rol
  16.         )
  17.     );
  18.     // Redirigimos a página de usuario
  19.     header('Location: bienvenido.php');
  20.     exit;
  21. }
  22.  
  23. // Finalizar sesión
  24. function logout() {
  25.     // Creamos una nueva id de sesión y eliminamos la anterior (true)
  26.     session_regenerate_id(true);
  27.  
  28.     // Eliminamos información de sesión
  29.     $_SESSION = array();
  30.  
  31.     // Redirigimos a página principal
  32.     header('Location: index.php');
  33.     exit;
  34. }

Aunque el uso de md5() no es tan aconsejable, podemos darle un poco más de confiabilidad agregando información y, de paso, nos ayudará tratando de hacer más segura nuestra sesión:
Cita:
Iniciado por IMPORTANTE
Es recomendable ver la sugerencia de Abimaelrc para reforzar la seguridad en este punto: http://www.forosdelweb.com/f18/aport...8/#post4330821
Código PHP: 
Ver original
  1. session_start();
  2.  
  3. // Un pequeño agregado para usar en md5()
  4. DEFINE('SALT_MD5', 'AbC%"$%"');
  5.  
  6. // El usuario ya inició sesión?
  7. if(esUsuario()) {
  8.     // Ok, es una sesión válida
  9.     // Aquí el código para usuarios con sesión iniciada
  10. } else {
  11.     // No ha iniciado sesión
  12.     // Aquí el código para "invitados"
  13. }
  14.  
  15. // Obtener cadena de comprobación
  16. function strMd5($cadena) {
  17.     return md5(SALT_MD5 . $cadena . SALT_MD5);
  18. }
  19.  
  20. // Ingreso de usuario
  21. function login($id, $usuario, $correo, $rol) {
  22.     session_regenerate_id(true);
  23.  
  24.     // Creamos sólo las variables que necesitaremos
  25.     $_SESSION = array(
  26.         'usuario' => array(
  27.             'id' => $id,
  28.             'nombre' => $usuario,
  29.             'correo' => $correo,
  30.             'rol' => $rol,
  31.             'comprobacion' => strMd5("$id|$usuario|$correo|{$_SERVER['REMOTE_ADDR']}");
  32.         )
  33.     );
  34.     // Redirigimos a página de usuario
  35.     header('Location: bienvenido.php');
  36.     exit;
  37. }
  38.  
  39. // Finalizar sesión
  40. function logout() {
  41.     // Creamos una nueva id de sesión y eliminamos la anterior (true)
  42.     session_regenerate_id(true);
  43.  
  44.     // Eliminamos información de sesión
  45.     $_SESSION = array();
  46.  
  47.     // Redirigimos a página principal
  48.     header('Location: index.php');
  49.     exit;
  50. }
  51.  
  52. // Comprobar si es una sesión válida
  53. // Devuelve verdadero sólo si el usuario inició sesión y la cadena de comprobación es correcta
  54. // Si el usuario cambia de IP, entonces finalizará su sesión
  55. function esUsuario() {
  56.     if(isset($_SESSION['usuario'])) {
  57.         $cadena = "{$_SESSION['usuario']['id']}|{$_SESSION['usuario']['nombre']}|{$_SESSION['usuario']['correo']}|{$_SERVER['REMOTE_ADDR']}";
  58.         if(strMd5($cadena) == $_SESSION['usuario']['comprobacion']) {
  59.             // Sesión válida
  60.             return true;
  61.         }
  62.         // Sesión no válida, posiblemente es un ataque
  63.         // Cerramos sesión
  64.         logout();
  65.     }
  66.     return false;
  67. }

Nota 1: La dirección IP es tan poco confiable como la información del navegador, sin embargo, los datos añadidos en la cadena de comprobación harán que un atacante se tenga que esforzar más para obtener acceso al sitio.

Nota 2: Sí, lo sé, puede resultar molesto que la sesión caduque automáticamente cuando encendemos la computadora y regresamos al sitio, todo porque la IP cambió, entonces, esta estrategia podría ser usada sólo para usuarios con permisos administrativos.

Hay que tener en cuenta que la sesión podría cerrarse aún cuando el usuario tenga abierta la página, pero esté inactivo durante mucho tiempo; igualmente, debería haber la posibilidad de guardar los datos del usuario para mantener la conexión activa entre cada visita. En estos casos, debemos hacer uso de cookies, teniendo cuidado de guardar sólo información que nos permita obtener id de usuario y comparar con otros datos para saber que se trata de una sesión válida.

Más o menos así quedaría el script al final:


Código PHP: 
Ver original
  1. session_start();
  2.  
  3. // Un pequeño agregado para usar en md5()
  4. DEFINE('SALT_MD5', 'AbC%"$%"');
  5.  
  6. // El usuario ya inició sesión?
  7. if(esUsuario()) {
  8.     // Ok, es una sesión válida
  9.     // Aquí el código para usuarios con sesión iniciada
  10. } else {
  11.     // No ha iniciado sesión
  12.     // Aquí el código para "invitados"
  13. }
  14.  
  15. // Obtener cadena de comprobación
  16. function strMd5($cadena) {
  17.     return md5(SALT_MD5 . $cadena . SALT_MD5);
  18. }
  19.  
  20. // Ingreso de usuario
  21. function login($id, $usuario, $correo, $rol) {
  22.     session_regenerate_id(true);
  23.  
  24.     // Creamos sólo las variables que necesitaremos
  25.     $_SESSION = array(
  26.         'usuario' => array(
  27.             'id' => $id,
  28.             'nombre' => $usuario,
  29.             'correo' => $correo,
  30.             'rol' => $rol,
  31.             'comprobacion' => strMd5("$id|$usuario|$correo|{$_SERVER['REMOTE_ADDR']}")
  32.         )
  33.     );
  34.     // Creamos cookie 'usuario' con id y cadena de comprobación
  35.     // Expira en un mes y está disponible en la raiz del sitio y todas las subcarpetas
  36.     setcookie('usuario', "$id|{$_SESSION['usuario']['comprobacion']}", time() + (86400 * 30), '/');
  37.  
  38.     // Redirigimos a página de usuario
  39.     header('Location: bienvenido.php');
  40.     exit;
  41. }
  42.  
  43. // Finalizar sesión
  44. function logout() {
  45.     // Creamos una nueva id de sesión y eliminamos la anterior (true)
  46.     session_regenerate_id(true);
  47.  
  48.     // Eliminamos información de sesión
  49.     $_SESSION = array();
  50.  
  51.     // Borramos info de cookie
  52.     setcookie('usuario', 'sin sesión', time() + 3600, '/');
  53.  
  54.     // Redirigimos a página principal
  55.     header('Location: index.php');
  56.     exit;
  57. }
  58.  
  59. // Comprobar si es una sesión válida
  60. // Devuelve verdadero sólo si el usuario inició sesión y la cadena de comprobación es correcta
  61. // Si el usuario cambia de IP, entonces finalizará su sesión
  62. function esUsuario() {
  63.     // Si no existe la variable de sesión
  64.     if( ! isset($_SESSION['usuario'])) {
  65.         // Entonces buscamos en cookie
  66.         $cookie = (isset($_COOKIE['usuario'])) ? $_COOKIE['usuario'] : 'sin sesión';
  67.         if($cookie != 'sin sesión' && $cookie != '') {
  68.             // Separamos ud y cadena de comprobación
  69.             $tmp = explode('|', $cookie);
  70.  
  71.             // Sólo será válida si son dos elementos
  72.             if(count($tmp) == 2) {
  73.                 $id = (int) $tmp[0];
  74.                 $sql = "SELECT id, nombre, correo, rol FROM usuarios WHERE id = $id";
  75.                 // Leemos la consulta con nuestra librería preferida
  76.  
  77.                 // Si los datos son válidos, creamos variables de sesión
  78.                 $_SESSION['usuario'] = array(
  79.                     'id' => $id,
  80.                     'nombre' => $usuario,
  81.                     'correo' => $correo,
  82.                     'email' => $email,
  83.                     'rol' => $rol,
  84.                     'comprobacion' => $tmp[1] // La cadena obtenida de cookie
  85.                 );
  86.             }
  87.         }
  88.     }
  89.  
  90.     if(isset($_SESSION['usuario'])) {
  91.         $cadena = "{$_SESSION['usuario']['id']}|{$_SESSION['usuario']['nombre']}|{$_SESSION['usuario']['correo']}|{$_SERVER['REMOTE_ADDR']}";
  92.         if(strMd5($cadena) == $_SESSION['usuario']['comprobacion']) {
  93.             // Sesión válida, renovamos cookie para mantenerlo conectado
  94.             setcookie('usuario', "$id|{$_SESSION['usuario']['comprobacion']}", time() + (86400 * 30), '/');
  95.  
  96.             return true;
  97.         }
  98.         // Sesión no válida, posiblemente es un ataque
  99.         // Cerramos sesión
  100.         logout();
  101.     }
  102.     // No hay sesión válida, nos aseguramos de que la cookie siga sin datos
  103.     setcookie('usuario', 'sin sesión', time() + 3600, '/');
  104.     return false;
  105. }

Últimas recomendaciones:

- Nunca guardar las contraseñas directamente en la base de datos, es recomendable codificarla con md5(), sha1() o cualquier otro método que no permita decodificar y agregando algunos caracteres como en el ejemplo anterior, que usamos la constante SALT_MD5.
- Si en el ejemplo anterior cambiamos la cadena de comprobación quitando el correo y agregando la contraseña codificada nos facilitaría comprobar si la cookie de usario es realmente válida.
- Por favor, no copies y pegues el código esperando que funcione, todo lo hice en el bloc de notas y, seguramente, habrá muchos errores; analiza, entiende y adapta lo que creas que te pueda servir.
- Cualquier duda será respondida en este mismo tema.

Bueno, creo que es todo, sólo falta aclarar que no hay sistema 100% seguro y que esto es sólo una guía para tratar de evitar ataques y cualquier comentario, sugerencia o añadidura será bienvenida.
__________________
- León, Guanajuato
- GV-Foto
Última edición por Triby; 13/12/2012 a las 17:31