PHP, безопасность, авторизация. Вопрос?

Question

[vareted]

пишу авторизацию для сайта на php. Возник вопрос по поводу безопасности при реализации функции "запомнить меня. Есле вкратце, то пользователю выдаются cookie с токеном, который сформирован методом:
$bytes = random_bytes(rand(150, 267));
$token = bin2hex($bytes);
Сохраняем его в базу данных и выдаём пользователю. При последующей идентификации сверяется токен и пользователь авторизован.
Вопрос такой, возможно ли методом перебора комбинаций несанкционированно авторизоваться на сайте? Может лучше идентифицировать пользователя по двум параметрам: например его id в базе данных и сформированному токену?

Comments

[Дмитрий]

Куки вещь не надёжная, надо солить хэш

[Сергей Горностаев]

PHP, безопасность, авторизация. Вопрос?

Нет, это не вопрос.

[ptvalx]

Используй rand_int вместо rand. Я так авторизацию делаю:
пароль соленый. Сессии храню в бд. Значение сессии - просто рандомная строка (в бд тип "binary" - для регистра). Используются транзакции бд с проверкой на существование, т.к. коллизию никто не отменял. Еще для надежности нужна привязка сессии к маске ip и периодическая смена значения сессии. В общем, есть некоторые тонкости в разработке системы авторизации. С ходу хорошо не сделать. Защиту от перебора можно сделать. Просто записываешь в бд обращения с несуществующей сессией. Если таких слишком много - делаешь бан какой-нибудь.
рандомная строка сессии создается из набора 90 символов и длинной в 32 символа. Комбинаций больше чем у md5. Какую-то информацию хранить в значении сессии не стоит, нужно лишь идентифицировать по этому значению. В бд сессий находится этот идентификатор с ссылкой на id юзера.

[Stalker_RED]

ptvalx, Все что вы описали (кроме проверки ip) приравнивается к увеличению длины session id.

привязка сессии к маске ip

то есть переключил ноут с домашнего wi-fi на мобильный, и тебя разлогинивает, да?

[vareted]

Дмитрий, все, что хранится на стороне пользователя можно считать ненадежным, так как сохранность его данных зависит только от него самого.

Answer 1

[Stalker_RED]

Вы уж там определитесь, вам безопасность или "запомнить".

Если вы не банк, то в 99% случаев достаточно обычной сессии + какая-нибудь защита от брутфорса, хоть fail2ban.

Чем ваш дополнительный токен отличается от идентификатора сессии?

Comments

[vareted]

Временем действия и это большая разница. Но в любом случае, спасибо за ответ.

[Stalker_RED]

vareted, время жизни сессии настраивается. А еще есть SessionHandler, который позволяет добавить сколько угодно своей логики.

[vareted]

Stalker_RED, время жизни сессии конечно настраивается, но лучше ее выдавать на один сеанс с небольшим промежутком времени, а не хранить неделями.

[Stalker_RED]

vareted, и в чем проблема поставить этот "небольшой промежуток"? По умолчанию равный 24 минутам, кстати.

[vareted]

Stalker_RED, я писал про функцию "запомнить меня". В случае обычной авторизации выдаётся просто сессия на короткий промежуток времени.