elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Trabajando con las ramas de git (tercera parte)


+  Foro de elhacker.net
|-+  Programación
| |-+  Desarrollo Web
| | |-+  PHP (Moderador: #!drvy)
| | | |-+  Sistema de Login Seguro		0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Sistema de Login Seguro  (Leído 9,237 veces)
GameAndWatch

Desconectado Desconectado

Mensajes: 42


Ver Perfil
Sistema de Login Seguro
« en: 22 Junio 2012, 21:52 pm »
¡Hola! :D
Estoy creando un sistema de login en PHP, pero me ha surgido este problema.
Antes guardaba el login en cookies, pero me acabo de dar cuenta de lo peligroso que puede ser  >:D :¬¬...así que mi pregunta es:
 :huh:¿que sistema es más seguro a la hora de realizar un login? :huh:
Gracias de antemano por la respuesta  :D
En línea
it3r

Desconectado Desconectado

Mensajes: 101



Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #1 en: 23 Junio 2012, 00:12 am »
mira no tengo mucha experiencia en logins, pero se que se hace con sesiones, es decir utilizas la variable $_SESSION[] y en ella vas guardando datos por ejemplo, cuando el usuario introduce el user y pass estos se deben comparar con una base de datos, si estan correctos se escribe en la sesion algun valor como

Código:
 $_SESSION['logeado']=TRUE;

con eso despues verificas si ya esta logeado con un

Código:
if(!empty($_SESSION['logeado']))

El usuario no podra modificar este dato porque?,, porque el servidor le pasa una cookie al cliente con el nombre de phpsessionid y este solo contiene un id,, cuando el usuario se mete a la página este le manda la cookie phpsessionid al servidor y el servidor busca en sus sessiones activas la que tenga el id que le paso el cliente.Por ende es mas seguro chequear por session que por cookie. (Si me equivoco corrijanme porfa xD).

Saludos
En línea
marko1985

Desconectado Desconectado

Mensajes: 46


Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #2 en: 23 Junio 2012, 02:31 am »
Hola te dejo un código de mi propia cosecha que me da buenos resultados, está adaptado para un proyecto propio que estoy haciendo, pero vamos que lo puedes modificar a tus necesidades. En mi caso hay varios supuestos para hacer redirecciones, pero puedes simplificarlo en dos partes. Una si existe cookie y otra si no existe, dentro de la que no existe, si el usuario ha verificado la casilla de guardar la sesión creo la cookie, ya que si quieres conservar el estado de la sesión al cerrar el navegador es la única forma. Yo lo que hago es genear un identificador lo guardo en la base de datos, y cuándo se vuelve a meter verifico si ese id está en la BBDD. Si te roban la cookie es un problema de todas formas, pero para conservar el estado es la única forma, al menos desde lo que yo conozco. Puedes crear en el registro un sistema de preguntas y respuestas para que en cada login el salga una de las preguntas aleatoriamente y verificar si es ese usuario. Pero cómo todo login puedes poner todas las trabas que quieras. También podrías generar un certificado único para ese usuario, pero estamos en las mismas si te roban el certificado, ¿no?

Código
  1. <?php
  3. 	require_once "./includes/classes/class.DB_Handler.php";
  4. 	require_once "./includes/classes/class.User.php";
  5. 	require_once "./includes/classes/class.Profiles.php";
  6.  
  7. 	if(isset($_COOKIE['SocialCores'])){
  8. 		$key = $_COOKIE['SocialCores'];
  9. 		try{
  10. 			if($user = User::check_user_cookie($key)){
  11. 				$_SESSION['user'] = $user;
  12. 				switch($_SESSION['user']['profiles']){
  13. 						case 0:
  14. 							header("Location:./home.php");
  15. 						break;
  16.  
  17. 						case 1:
  18. 							try{
  19. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  20. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  21. 									$_SESSION['user']['profiles_data'][] = array(
  22. 										'id_profile' 	=> $data['id_profile'],
  23. 										'type'			=> $data['type'],
  24. 										'original_id'	=> $data['original_id'],
  25. 										'blocked'		=> $data['blocked']
  26. 									); 
  27. 								}
  28.  
  29. 								$_SESSION['user']['profiles_data']['current_profile'] = $_SESSION['user']['profiles_data'][0];
  30. 								$profile_data = Profiles::get_profile_data($_SESSION['user']['current_profile']['type'], $_SESSION['user']['current_profile']['id_profile']);
  31. 								$profile = mysql_fetch_array($profile_data, MYSQL_ASSOC);									
  32. 								$_SESSION['user']['profiles_data']['current_profile']['data'] = $profile;
  33. 								header("Location:./profile.php");
  34. 							}
  35. 							catch(ProfilesException $e){
  36. 								$_SESSION['authError'] = $e->getMessage();
  37. 								header("Location:./index.php");	
  38. 							}
  39. 						break;
  40.  
  41. 						case 2:
  42. 						case 3:
  43. 						case 4:
  44. 						case 5:
  45. 							try{
  46. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  47. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  48. 									$_SESSION['user']['profiles_data'][] = array(
  49. 										'id_profile' 	=> $data['id_profile'],
  50. 										'type'			=> $data['type'],
  51. 										'original_id'	=> $data['original_id'],
  52. 										'blocked'		=> $data['blocked']
  53. 									); 
  54. 								}
  55. 								header("Location:./switcher.profile.php");
  56. 							}
  57. 							catch(ProfilesException $e){
  58. 								$_SESSION['authError'] = $e->getMessage();
  59. 								header("Location:./index.php");	
  60. 							}					
  61. 						break;		
  62. 				}				
  63. 			}
  64. 			else{
  65. 				setcookie("SocialCores", $sessionId, time() - 10, "/");
  66. 				$_SESSION['authError'] = "Sesión expirada, introduzca sus datos";
  67. 				header("Location:./index.php");
  68. 			}	
  69. 		}
  70. 		catch(UserException $e){
  71. 			$_SESSION['authError'] = $e->getMessage();
  72. 			header("Location:./index.php");
  73. 		}
  74. 	}	
  75.  
  76. 	else if(isset($_POST['email']) && isset($_POST['password'])){
  77. 		$email=$_POST['email'];
  78. 		$pass=$_POST['password'];	
  79.  
  80. 		try{
  81. 			if($user = User::authUser($email, $pass)){
  82.  
  83. 				$_SESSION['user'] = $user;
  84.  
  85. 				if(isset($_POST['rec']) && $_POST['rec']="on"){
  86. 					$sessionId = session_id();			
  87. 					setcookie("SocialCores", $sessionId, time() + (60 * 60 * 24 * 365), "/");
  88. 					$id_user = $user['id_user'];					
  89. 					User::update_last_access_id($id_user, $sessionId);
  90. 					switch($_SESSION['user']['profiles']){
  91. 						case 0:
  92. 							header("Location:./home.php");
  93. 						break;
  94.  
  95. 						case 1:
  96. 							try{
  97. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  98. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  99. 									$_SESSION['user']['profiles_data'][] = array(
  100. 										'id_profile' 	=> $data['id_profile'],
  101. 										'type'			=> $data['type'],
  102. 										'original_id'	=> $data['original_id'],
  103. 										'blocked'		=> $data['blocked']
  104. 									); 
  105. 								}
  106. 								$_SESSION['user']['profiles_data']['current_profile'] = $_SESSION['user']['profiles_data'][0];
  107. 								$profile_data = Profiles::get_profile_data($_SESSION['user']['current_profile']['type'], $_SESSION['user']['current_profile']['id_profile']);
  108. 								$profile = mysql_fetch_array($profile_data, MYSQL_ASSOC);									
  109. 								$_SESSION['user']['profiles_data']['current_profile']['data'] = $profile;
  110. 								header("Location:./profile.php");
  111. 							}
  112. 							catch(ProfilesException $e){
  113. 								$_SESSION['authError'] = $e->getMessage();
  114. 								header("Location:./index.php");	
  115. 							}
  116. 						break;
  117.  
  118. 						case 2:
  119. 						case 3:
  120. 						case 4:
  121. 						case 5:
  122. 							try{
  123. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  124. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  125. 									$_SESSION['user']['profiles_data'][] = array(
  126. 										'id_profile' 	=> $data['id_profile'],
  127. 										'type'			=> $data['type'],
  128. 										'original_id'	=> $data['original_id'],
  129. 										'blocked'		=> $data['blocked']
  130. 									); 
  131. 								}
  132. 								header("Location:./switcher.profile.php");
  133. 							}
  134. 							catch(ProfilesException $e){
  135. 								$_SESSION['authError'] = $e->getMessage();
  136. 								header("Location:./index.php");	
  137. 							}					
  138. 						break;		
  139. 					}	
  140. 				}
  141. 				else{
  142. 					switch($_SESSION['user']['profiles']){
  143. 						case 0:
  144. 							header("Location:./home.php");
  145. 						break;
  146.  
  147. 						case 1:
  148. 							try{
  149. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  150. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  151. 									$_SESSION['user']['profiles_data'][] = array(
  152. 										'id_profile' 	=> $data['id_profile'],
  153. 										'type'			=> $data['type'],
  154. 										'original_id'	=> $data['original_id'],
  155. 										'blocked'		=> $data['blocked']
  156. 									); 
  157. 								}
  158. 								$_SESSION['user']['profiles_data']['current_profile'] = $_SESSION['user']['profiles_data'][0];
  159. 								$profile_data = Profiles::get_profile_data($_SESSION['user']['profiles_data']['current_profile']['type'], $_SESSION['user']['profiles_data']['current_profile']['id_profile']);
  160. 								$profile = mysql_fetch_array($profile_data, MYSQL_ASSOC);									
  161. 								$_SESSION['user']['profiles_data']['current_profile']['data'] = $profile;
  162. 								header("Location:./profile.php");
  163. 							}
  164. 							catch(ProfilesException $e){
  165. 								$_SESSION['autherror'] = $e->getMessage();
  166. 								header("Location:./index.php");	
  167. 							}
  168. 						break;
  169.  
  170. 						case 2:
  171. 						case 3:
  172. 						case 4:
  173. 						case 5:
  174. 							try{
  175. 								$profiles_data = Profiles::search_user_profiles($_SESSION['user']['id_user']);
  176. 								while($data = mysql_fetch_array($profiles_data, MYSQL_ASSOC)){
  177. 									$_SESSION['user']['profiles_data'][] = array(
  178. 										'id_profile' 	=> $data['id_profile'],
  179. 										'type'			=> $data['type'],
  180. 										'original_id'	=> $data['original_id'],
  181. 										'blocked'		=> $data['blocked']
  182. 									); 
  183. 								}
  184. 								header("Location:./switcher.profile.php");
  185. 							}
  186. 							catch(ProfilesException $e){
  187. 								$_SESSION['authError'] = $e->getMessage();
  188. 								header("Location:./index.php");	
  189. 							}					
  190. 						break;		
  191. 					}		
  192. 				}			
  193. 			}
  194. 			else{
  195. 				$_SESSION['authError'] = "Email o contraseña incorrectos";
  196. 				header("Location:./index.php");	
  197. 			}	
  198. 		}
  199. 		catch(UserException $e){
  200. 			$_SESSION['authError'] = $e->getMessage();
  201. 			header("Location:./index.php");
  202. 		}
  203. 		catch(Exception $e){
  204. 			$_SESSION['authError'] = $e->getMessage();
  205. 			header("Location:./index.php");
  206. 		}
  207. 	}
  208.  
  209. 	else{
  210. 		$_SESSION['authError'] = "Debe acceder al sistema através de esta página";
  211. 		header("Location:./index.php");
  212. }
  213.  
En línea
GameAndWatch

Desconectado Desconectado

Mensajes: 42


Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #3 en: 23 Junio 2012, 08:32 am »
Lo primero:
¡Gracias a los dos por responder! :D :D
Pero tengo una duda con el código. Veo que guardas el id en la BBDD, pero...¿Cuando borras ese id? Lo digo porque si no, se te puede crear una tabla enorme... :-\
En línea
marko1985

Desconectado Desconectado

Mensajes: 46


Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #4 en: 23 Junio 2012, 13:20 pm »
Hola,

Quizás te he dejado a medias con ese código y falta complementarlo. Cómo puedes ver en el script de arriba hago unos includes con una clases que he diseñado para este proposito y que despues también utilizo a lo largo de la aplicacion

En la clase class.User.php existen unos métodos estáticos, uno de estos métodos es check_user_cookie('$key")

Te pongo aquí el código

Código
  1. public static function check_user_cookie($key){
  2. 	$db = new DB_Handler('localhost', 'MI BASE DE DATOS');
  3. 	$key = md5($key);
  4. 	$sql = "SELECT * FROM users WHERE last_valid_sessid = '$key'";
  5. 	if($query =  mysql_query($sql, $db->link)){
  6. 		$user = mysql_fetch_array($query);
  7. 		return $user;
  8. 	}
  9. 	else{
  10. 		return false;
  11. 	}
  12. }
  13.  

Cómo puedes ver busco en la tabla usuarios un campo que he llamado last_valid_sessid con el valor $key, cuándo se crea la cookie por primera vez este valor se guarda en un campo llamado last_valid_sessid, cuándo vuelva ha acceder se sobreescribe con un nuevo valor. no guardar los ID de las sesiones en ningún sitio diferente sino que va asociado a un campo de la tabla usuarios, que puedes establecer desde un inicio como valor Null te pongo un pantallazo de la tabla.



No sé si me he explicado bien,

El flujo sería:

LEO COOKIE -> BUSCO VALOR EN BBDD -> SI EXISTE VALIDO LA SESIÓN -> SOBREESCRIBIMOS COOKIE Y BBDD CON UN NUEVO ID.

Yo lo tengo muy liado con mis clases y mis historias pero más o menos sería así.

Un saludo.
En línea
GameAndWatch

Desconectado Desconectado

Mensajes: 42


Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #5 en: 23 Junio 2012, 14:28 pm »
Ahora sí que lo entiendo :D

 ;-) ;-)¡¡Muchas gracias!! ;-) ;-)

Con PHP había mis cosas internas, pero nunca había hecho nada de login (bueno, he hecho 2 pero con cookies) ;)
En línea
marko1985

Desconectado Desconectado

Mensajes: 46


Ver Perfil
Re: Sistema de Login Seguro
« Respuesta #6 en: 23 Junio 2012, 17:02 pm »
De nada.

De todas formas yo quería algo muy específico, y es probable que tenga fallos, he intentado hacerlo seguro, pero aquí hay verdaderos expertos en seguridad que estrujarían mi código rápidamente. Aún así te recomiendo encarecidamente que cuándo tengas más por la mano PHP uses algún Framework ya que facilitan mucho el trabajo para estas tareas comunes.

Te pongo algunos de los más comunes

Zend Framework (de los creadores de PHP)
Symphony
Cake
CodeIgniter 2 (Yo estoy empezando con este ahora)

Saludos, cualquier cosa en la que se pueda ayudar ya sabes...
En línea
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Sistema de login.
PHP 		lnvisible 4 3,016 Último mensaje 1 Diciembre 2011, 04:33 am
por #!drvy
¿Qué tan seguro es este login que he planteado en un sitio web en ASP.Net?
Desarrollo Web 		TwisteD420 4 4,899 Último mensaje 4 Abril 2012, 02:42 am
por TwisteD420
Login seguro para desarrollo web
Seguridad 		vctr89 0 2,809 Último mensaje 16 Agosto 2013, 18:29 pm
por vctr89
Sistema de login muy seguro « 1 2 3 »
.NET (C#, VB.NET, ASP) 		TomaSs 22 15,112 Último mensaje 25 Octubre 2013, 13:52 pm
por eferion
Sistema de login muy seguro
Ingeniería Inversa 		TomaSs 2 3,084 Último mensaje 26 Septiembre 2013, 19:09 pm
por TomaSs
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines