Как сделать сайт безопасным при авторизации?

Question

[Евгений Иванович]

Я не профессиональный веб-разработчик, поэтому я попытался реализовать авторизацию на сайте так, как мне пришло в голову - с помощью куки. При чем, если конкретнее, то так:
Пользователь вводит логин, пароль и если они совпадают по базе данных, то в куки записываются логин и id. Так, по значению куки['login'] сайт определяет, авторизован ли пользователь и кто это. Но, если пользователь просто поменяет значение куки (не знаю, может ли пользователь менять значение или только удалять), тогда сайт будет думать что ты уже не Ваня например, а Петя. Можно конечно записывать в куки захэшированный пароль, чтобы каждая страница проверяла соответствие куки - логин == бд.логин && пароль == бд.пароль, но я не уверен что это правильно. Или пользователь все же не имеет доступа к изменению значения куки?

Answer 1

[xmoonlight]

Есть браузерные куки $_COOKIES, а есть сессионные переменные $_SESSION (ID которой хранится также в куках браузера).
В браузере кроме ID сессии лучше ничего не хранить важного, т.к. это могут поменять без проблем.
Все данные для сессии - нужно хранить на стороне сервера.
Используйте установку флага сессии после успешной авторизации в PHP скрипте на стороне сервера, например, так: $_SESSION['user']=$username; и везде проверяйте наличие и наполнение данной переменной:

if ($_SESSION['user']!="") { 
  //пользователь авторизован... 
}

Comments

[fman2]

А что если хранить довольно тяжелый идентификатор (токен) пользователя в куках?
С сессиями сложнее, так как стандартный механизм подразумевает время хранения SESSION_ID равный SESSION и тогда время придется увеличивать. Если эту сессию сопрут, лучше не будет.

[xmoonlight]

fman2, можно как угодно. Токен тоже можно украсть и в любом случае его нужно привязывать к IP-адресу/браузеру юзера. Поэтому ID-сессии - в простых случаях хватает. В сложных - уже другие алгоритмы.

Answer 2

[fman2]

Можно хранить в куках, можно хранить в сессиях. В куках хранить ТОЛЬКО уникальный токен, который при краже перестанет работать. В сессии можно хранить что угодно, но стандартный механизм ставит время жизни сессии равным SESSION.

Самое главное, идентификатор сессии находится в куках (PHPSESSID), многие про это забывают. И если вы увеличите время жизни сессии, то сессия == куки.

Comments

[Vasiliy_M]

который при краже перестанет работать.

ага-ага. горе-программист увеличит время жизни сессии и делай что хочешь с этим токеном.

Answer 3

[Vasiliy_M]

Можно конечно записывать в куки захэшированный пароль, чтобы каждая страница проверяла соответствие куки - логин == бд.логин && пароль == бд.пароль, но я не уверен что это правильно.

это правильно. не безопасно, но правильно. не безопасно потому, что можно подойти к браузеру и стырить куки. но это проблема другого рода. можно поставить время жизни кук = 0 и это будет эмуляция сессий, но без генерирования тучи сессионных файлов.

т.е.

1. Пользователь вводит логин и пароль, они верны.
2. Ставим куки:
- ID - идентификатор пользователя
- HASH - md5(user_password_hash + salt), где
user_password_hash - захэшированый в базе пароль
salt - соль

тогда на каждой странице запрос будет вида
SELECT * FROM `user` WHERE `id` = ID_из_куки
далее просто сравниваем $_COOKIE['HASH'] === md5($user['user_password_hash'] . $user['salt'])

Плюсы подхода - никогда не происходит уничтожение "сессии" (т.е. всегда пользователь авторизован), если вы не ставите время жизни куки = 0. Для многих сайтов, где не критична безопасность - это очень красивый, легкий и простой вариант авторизации.

Comments

[Vasiliy_M]

MaxKorz, где я советовал не использовать md5? О_о

и в своем же ответе советуете делать вечную "сессию"

понимаете, проблема "подошел к ПК - стырил куку" - это проблема в 99% лежит не в плоскости технологии. поэтому кричать о том, что куки - это плохо, а сессии - это хорошо - не правильно. да, механизм сессий обеспечивает бОльшую защиту, но это избыточность в виде генерации большого количества сессионных файлов, невозможность долго оставаться в системе и частая аутентификация. У меня вот есть сайтик где я использую куки для авторизации. Есть чекбокс "Запомнить пароль". Если он не включен - то куки будут уничтожены после закрытия браузера. В ином случае - я предупреждаю, мол что бы доступа чужих к ПК не было.

[Vasiliy_M]

MaxKorz,

Вы не умеете настраивать время жизни сессии?

Умею. Теоретически. Практически - это никто не делает. Менять время жизни сессии - признак тотального непонимания сути сессий. Сессия - это СЕАНС. Если вы увеличиваете срок годности сессии - вы что-то делаете не так.

это огромный плюс, а не минус

в чем плюс?

[Vasiliy_M]

MaxKorz,

вы хотите, чтобы каждый кто может воспользоваться (даже теоретически) вашим компьютером/телефоном, смог открыть интернет банк/steam аккаунт/ваш хостинг/контакт и т.д. и т.п. и смог делать все что угодно без ввода пароля?

когда вам сервис предлагает "оставаться в системе", типа mail.ru или VK, вы же не делаете из этого трагедию? Это уже немного иного вида проблемы, недели проектирование. Это человеческий фактор уже.

[sim3x]

Vasiliy_M, ответ можно отредактировать и убрать оттуда мд5

А потом поставить, то что рекомендуют в офф доках пхп

Разница между дырявым вк/маилру и сайтом сделанным вами в том, что за безопасность вашего сайта отвечаете вы