Насколько безопасна авторизация?

Question

[yischyk]

Принцип работы авторизации:

Таблица users: login, password, cookie

Пользователь переходит на страницу логина -> вводит данные, я проверяю, есть ли они в базе -> если нашел, беру куку (рандомная строка из бд) и сохраняю в браузер.

На каждой странице сайта сверяю ключ пользователя, есть ли он в базе.

Не использую session от php, просто кука. Насколько правильный такой вариант вообще, и с точки зрения безопасности?

upd: вопрос по сути, ответы тоже прошу по сути, пожалуйста.

Comments

[FanatPHP]

что такое "рандомный ключ из бд"?
и при чем здесь SQL-ИНЪЕКЦИИ и JAVASCRIPT?

[Spartak (Web-StyleStudio)]

yischyk,

Не использую session от php

Вера не позволяет? Или свой велосипед лучше?

[ThunderCat]

Не использую session от php

а смысл? Делать свои сессии вместо работающего готового механизма?

[yischyk]

ThunderCat, Ну я могу создать сессию, но она все равно пропадет скоро.

В таком случае надо каждый раз смотреть куку и обновлять сессию, да?

[yischyk]

Spartak (Web-StyleStudio), первое

[edward_freedom]

Spartak (Web-StyleStudio), сессии не удобна тем, что удаляется после закрытия, а куки указал и забыл навсегда. Если много пользователей, будет много сессий на сервере

[yischyk]

FanatPHP, рандомная сгенерированная строка.

javascript используется в процессе, работа с cookie, возможно, знатоки js также юзают такую систему, не хуже разбираются и смогут подсказать.

[Spartak (Web-StyleStudio)]

edward_freedom,

сессии не удобна тем, что удаляется после закрытия

А что мешает настроить время жизни сессии как вам надо?

Если много пользователей, будет много сессий на сервере

И что?

[ThunderCat]

yischyk, Так это 2 разных механизма, вы их зачем-то перемешали... Сессия тем и удобна, что существует пока не закрыт браузер (в теории оба механизма можно настроить так и этак, но смысл?). Если хотите чтобы был "вечный" логин - сделайте галочку "запомнить меня" и реализуйте свою куку, а при открытии уже проверяйте ее наличие и тогда автоматически логиньте. Я бы не очень обрадовался если бы по открытию какого-то ресурса я автоматически был бы на нем залогинен... мало ли кто к компу подойдет, это должен быть осознанный выбор пользователя, а не принудительный механизм.

[edward_freedom]

Spartak (Web-StyleStudio),

И что?

в чем преимущество хранения данных пользователя на сервере, а не у пользователя в браузере?

А что мешает настроить время жизни сессии как вам надо?

а что мешает ничего не делать и пользоваться куками?

[edward_freedom]

yischyk,

рандомная сгенерированная строка.

рандомная не очень правильно, если и воспользоваться простым мд5 хешем, то надо хотя бы так, чтобы другой не воспользовался ключем
md5(ip + login + password + salt)

[yischyk]

ThunderCat, по открытию ресурса вы не логинитесь. Логинитесь только после того, как сознательно заполнили форму. И кнопка выход тоже на самом видно месте, так что не думаю, что проблема в этом.

Не хотелось просто зассорять дизайн чекбосами, но мб, это будет правильным решением, спасибо, подумаю.

А в целом безопасность такого механизма норм?

[Spartak (Web-StyleStudio)]

edward_freedom,

в чем преимущество хранения данных пользователя на сервере, а не у пользователя в браузере?

Как минимум что это безопаснее!

что мешает ничего не делать и пользоваться куками?

Абсолютно ничего!

[yischyk]

edward_freedom, +, тем более хочется какого-то более стандартного решения. Чтобы меня время сессии, вроде надо лезть в php.ini, что меня прям напрягает. Можно организовать по стандарту, но не идти меня системные файлы

[FanatPHP]

отличная логика.
также в процессе используется HTML. добавим до кучи в теги и его?
возможно, знатоки Перла, Паскаля и Си-шарпа тоже знают, как работать с куками. Жалко что нельзя добавить больше 5 тегов, правда?

[FanatPHP]

Безопасность такого механизма зависит от того, что такое "рандомная сгенерированная строка". Если это обычная тупая функция, которую пишут все ламеры, то безопасность никакая.

edward_freedom, только вот это адище, которое ломается за 5 секунд, не надо советовать

[yischyk]

FanatPHP, не стоит зассорать обсуждение бессмысленными сообщениями. Не нравятся теги - предлагайте правки. Я полагал, что большинство js-разработчиков работают с куками и часть разбирается в безопасности, я мог ошибаться, прошу прощения

[yischyk]

FanatPHP, да, надо будет заюзать crypt() скорее всего или salt от php

[ThunderCat]

yischyk,

А в целом безопасность такого механизма норм?

Ровно такая-же как и при использовании сессий, за исключением механизма генерации "рандомной" строки, которая достаточно хорошо реализована в механизме сессий, а в вашем случае о нем вообще ничего не известно. При равном уровне исполнения сессия выигрывает только удобством пользования, но вы тоже можете обернуть свой костылик в какую-то оболочку и воткнуть в базовый контроллер, получив доступ к похожему механизму. Собственно в большинстве популярных фреймворков есть стандартные реализации сессии не через сессии пхп.

[Spartak (Web-StyleStudio)]

edward_freedom,

если и воспользоваться простым мд5 хешем, то надо хотя бы так, чтобы другой не воспользовался ключем

https://www.php.net/manual/ru/function.md5.php

Внимание
Не рекомендуется использовать эту функцию для обеспечения безопасности хранения паролей ввиду высокой скорости работы данного алгоритма

[yischyk]

Spartak (Web-StyleStudio), это понятно, я читал, спасибо

[ThunderCat]

Spartak (Web-StyleStudio), проблема не в скорости вычисления, а в методе получения строки для хэша. Так как у edward_freedom она состоит из констант, то подбор строки может быть достаточно просто реверсирован и подделан. Как минимум 1 ключ в строке должен быть рандомным, с хорошей рандомизацией, а не просто разбросом в 3 цифры.

[Spartak (Web-StyleStudio)]

ThunderCat,
Это была цитата из мануала php про md5. Суть в том что md5 не надёжный механизм, который взламывается

[FanatPHP]

" salt от php" а это что теперь такое?
почему все время какие-то бессвязные заявления, то какой-то "salt от рнр", то "рандомная строка из базы", то какой-то crypt(), который к случайным строкам вообще никакого отношения?
вы можете написать КОД, который используете для получения своей "рандомной строки"?

[Spartak (Web-StyleStudio)]

yischyk,

вопрос по сути, ответы тоже прошу по сути

Чтобы говорить по сути вопроса, как минимум надо увидеть вот это:

беру куку (рандомная строка из бд) и сохраняю в браузер.

[ThunderCat]

Spartak (Web-StyleStudio), а причем тут взламываемость??? Мы же не пароль хешируем. Нам просто нужна хорошо стандартизированная рандомная строка. Тут мд5 вполне норм.

[Spartak (Web-StyleStudio)]

ThunderCat,

Мы же не пароль хешируем.

А вот этого мы утверждать не можем, пока не увидим механизм/код создания вот этого

беру куку (рандомная строка из бд)

[ThunderCat]

Spartak (Web-StyleStudio),

А вот этого мы утверждать не можем, пока не увидим механизм/код создания вот этого

Вообще никак не связано. ТС вообще ничего не говорил про мд5, про мд5 завел разговор edward_freedom, и при этом мысль его была где-то рядом с правильной, но реализация на троечку с минусом, хотя скорее всего навеяна была именно созданием хешей пароля в древних реализациях авторизаций на пхп. В данном случае строка для генерации хеша как раз должна сдержать минимальное количество информации из пользовательских данных (а желательно не иметь их в составе вовсе).

[FanatPHP]

ThunderCat, можете ответить на простой вопрос, зачем "хорошо стандартизируемой (это тоже непонятно, что значит, но опустим) строке" нужен md5? вы с bin2hex() не путаете?

Я это к чему. Мало того что рандомной строке мд5 нужен как рыбке зонтик, но ведь оно наводит на подозрения о том ужасе, который выше написал edward_freedom, и который к рандомности вообще никакого отношения не имеет.

[ThunderCat]

FanatPHP, во первых длина, которая может быть сгенерирована разной для изначальной строки,но быть одинаковой для финальной строки - удобно выделять в бд определенную длину поля под хранение, ну и шестнадцатиричное представление строки легко и просто переносится в разные форматы данных, не требуя совместимости кодировок и тп, при этом имеющее хороший показатель коллизий. Короче - легко хранить, пофиг на длину изначальной строки(в отличие от bin2hex()) и просто в реализации.

[FanatPHP]

ThunderCat, random_bytes() включает ровно то количество байт, которое закажешь. а шестнадцатеричное делается через bin2hex()

[ThunderCat]

FanatPHP, ну да, те же яйца, только вид с боку. Ну и чуть больше вариативность, но смысл?

[edward_freedom]

FanatPHP,

ужасе, который выше написал edward_freedom, и который к рандомности вообще никакого отношения не имеет.

можно добавить время авторизации в параметры мд5 и будет тебе рандомность

Spartak (Web-StyleStudio),

Как минимум что это безопаснее!

идентификатор сессии опять же хранится в куках, что мешает производить небезопасные манипуляции с этой возможностью?

Spartak (Web-StyleStudio),

Внимание
Не рекомендуется использовать эту функцию для обеспечения безопасности хранения паролей ввиду высокой скорости работы данного алгоритма

пароль и не предлагается хранить, а лишь ключ. И мд5 приведен как пример, использовать можно любую систему шифрования

[Spartak (Web-StyleStudio)]

edward_freedom,

идентификатор сессии опять же хранится в куках,

Вот именно, что только идентификатор! А данные сессии на сервере...

что мешает производить небезопасные манипуляции с этой возможностью?

Какие?

[FanatPHP]

edward_freedom,

можно добавить время авторизации в параметры мд5 и будет тебе рандомность

ору, как как говорят наши юные друзья

[FanatPHP]

Spartak (Web-StyleStudio), ну так и здесь только идентификатор.

[edward_freedom]

Spartak (Web-StyleStudio),

Вот именно, что только идентификатор! А данные сессии на сервере...

я теперь понял, что ты вообще не понимаешь о чем речь

[Spartak (Web-StyleStudio)]

FanatPHP, согласен, но в этом случае необходимо обеспечить его уникальность для каждого юзера (а не просто "рандомная строка" ). В идентификаторе сессии на php это уже реализовано

[edward_freedom]

Spartak (Web-StyleStudio),

md5($dbUser["id"] . time() . rand()); //доволен пхп фанат?

[FanatPHP]

Spartak (Web-StyleStudio), я думаю, не стоит так упарываться в сессии. Учитывая, что на любом мало-мальски серьезном проекте механизм все равно надо переписывать, как минимум в части хранения данных, то сессия все равно, по сути распадается на две составляющих - кука на клиенте и некое хранилище на сервере. Ну и никто не мешает использовать эту куку в качестве идентификатора, а уж хранить данные юзера где угодно, используя этот это же идентификатор.
В конце концов сейчас можно использовать JWT, который вообще хранить все на клиенте

[FanatPHP]

edward_freedom, если уж усираться, вырывая слова из контекста, то зачем здесь md5 вообще? $dbUser["id"] уже уникальный.
Наверное, стоит прочитать фразу целиком, где уникальность - это только часть условия? а вторая часть - это рандомность, с которой у вашего говнокода вообще никак.
И если уж пускать дерьмо на вентилятор, md5-то как раз уникальности не обеспечивает.

[Spartak (Web-StyleStudio)]

edward_freedom,

time() . rand()

Серьёзно? :D

[FanatPHP]

edward_freedom, молодец, торопливо дописал rand :)
а теперь надо впервые в жизни открыть страничку этой функции в мануале, и прочитать предупреждение, которое там написано

[edward_freedom]

Spartak (Web-StyleStudio), ты еще двумя сообщениями выше вообще не понимал о чем тема

[edward_freedom]

FanatPHP, на сколько я еще помню с c++, весь рандом устроен на времени, так что на обычных компах рандом это не рандом

Answer 1

[Владимир Коротенко]

Лучше прикрутите oauth2
Тем более что вход через соц. сети сейчас практически стандарт.

Comments

[infinityfreenom]

лежит в обмороке там ТС