[php] “로그인 유지”-최선의 방법

소개

제목 “Keep Me Logged In”-최상의 접근 방식을 사용하는 경우 다음을 고려해야하므로 가장 좋은 접근 방식으로 시작 위치를 알기가 어렵습니다.

• 신분증
• 보안

쿠키

쿠키는 취약합니다. 일반적인 브라우저 쿠키 도난 취약점과 사이트 간 스크립팅 공격간에 쿠키가 안전하지 않다는 사실을 인정해야합니다. 보안을 향상 시키려면 다음 php setcookies과 같은 추가 기능이 있음에 유의해야합니다.

bool setcookie (string $ name [, string $ value [, int $ expire = 0 [, string $ path [, string $ domain [, bool $ secure = false [, bool $ httponly = false]]]]]])

• 보안 (HTTPS 연결 사용)
• httponly (XSS 공격을 통한 신원 도용 감소)

정의

• 토큰 (예 : n 길이의 예상 할 수없는 임의 문자열 (예 : / dev / urandom))
• 참조 (예를 들어, n 길이의 예측할 수없는 임의 문자열 (예 : / dev / urandom))
• 서명 (HMAC 방법을 사용하여 키 해시 값 생성)

간단한 접근

간단한 해결책은 다음과 같습니다.

• 사용자가 Remember Me로 로그온했습니다
• 토큰 및 서명으로 발행 된 로그인 쿠키
• 돌아올 때 서명이 확인됩니다
• 서명이 정상이면 데이터베이스에서 사용자 이름 및 토큰을 찾습니다.
• 유효하지 않은 경우 .. 로그인 페이지로 돌아 가기
• 유효한 자동 로그인

위의 사례 연구는이 페이지에 제공된 모든 예제를 요약하지만 단점은

• 쿠키를 도난당한 경우 알 수있는 방법이 없습니다
• 공격자는 암호 변경 또는 개인 정보 및 베이킹 정보 등과 같은 데이터와 같은 민감한 작업에 액세스 할 수 있습니다.
• 손상된 쿠키는 여전히 쿠키 수명 동안 유효합니다.

더 나은 솔루션

더 나은 해결책은

• 사용자가 로그인했으며 내가 선택되었음을 기억하십시오
• 토큰 생성 및 서명 및 쿠키 저장
• 토큰은 무작위이며 단일 인증에만 유효합니다.
• 사이트를 방문 할 때마다 토큰이 교체됩니다.
• 로그인하지 않은 사용자가 사이트를 방문하면 서명, 토큰 및 사용자 이름이 확인됩니다.
• 로그인은 액세스가 제한되어 있어야하며 비밀번호, 개인 정보 등을 수정해서는 안됩니다.

예제 코드

// Set privateKey
// This should be saved securely 
$key = 'fc4d57ed55a78de1a7b31e711866ef5a2848442349f52cd470008f6d30d47282';
$key = pack("H*", $key); // They key is used in binary form

// Am Using Memecahe as Sample Database
$db = new Memcache();
$db->addserver("127.0.0.1");

try {
    // Start Remember Me
    $rememberMe = new RememberMe($key);
    $rememberMe->setDB($db); // set example database

    // Check if remember me is present
    if ($data = $rememberMe->auth()) {
        printf("Returning User %s\n", $data['user']);

        // Limit Acces Level
        // Disable Change of password and private information etc

    } else {
        // Sample user
        $user = "baba";

        // Do normal login
        $rememberMe->remember($user);
        printf("New Account %s\n", $user);
    }
} catch (Exception $e) {
    printf("#Error  %s\n", $e->getMessage());
}

사용 된 클래스

class RememberMe {
    private $key = null;
    private $db;

    function __construct($privatekey) {
        $this->key = $privatekey;
    }

    public function setDB($db) {
        $this->db = $db;
    }

    public function auth() {

        // Check if remeber me cookie is present
        if (! isset($_COOKIE["auto"]) || empty($_COOKIE["auto"])) {
            return false;
        }

        // Decode cookie value
        if (! $cookie = @json_decode($_COOKIE["auto"], true)) {
            return false;
        }

        // Check all parameters
        if (! (isset($cookie['user']) || isset($cookie['token']) || isset($cookie['signature']))) {
            return false;
        }

        $var = $cookie['user'] . $cookie['token'];

        // Check Signature
        if (! $this->verify($var, $cookie['signature'])) {
            throw new Exception("Cokies has been tampared with");
        }

        // Check Database
        $info = $this->db->get($cookie['user']);
        if (! $info) {
            return false; // User must have deleted accout
        }

        // Check User Data
        if (! $info = json_decode($info, true)) {
            throw new Exception("User Data corrupted");
        }

        // Verify Token
        if ($info['token'] !== $cookie['token']) {
            throw new Exception("System Hijacked or User use another browser");
        }

        /**
         * Important
         * To make sure the cookie is always change
         * reset the Token information
         */

        $this->remember($info['user']);
        return $info;
    }

    public function remember($user) {
        $cookie = [
                "user" => $user,
                "token" => $this->getRand(64),
                "signature" => null
        ];
        $cookie['signature'] = $this->hash($cookie['user'] . $cookie['token']);
        $encoded = json_encode($cookie);

        // Add User to database
        $this->db->set($user, $encoded);

        /**
         * Set Cookies
         * In production enviroment Use
         * setcookie("auto", $encoded, time() + $expiration, "/~root/",
         * "example.com", 1, 1);
         */
        setcookie("auto", $encoded); // Sample
    }

    public function verify($data, $hash) {
        $rand = substr($hash, 0, 4);
        return $this->hash($data, $rand) === $hash;
    }

    private function hash($value, $rand = null) {
        $rand = $rand === null ? $this->getRand(4) : $rand;
        return $rand . bin2hex(hash_hmac('sha256', $value . $rand, $this->key, true));
    }

    private function getRand($length) {
        switch (true) {
            case function_exists("mcrypt_create_iv") :
                $r = mcrypt_create_iv($length, MCRYPT_DEV_URANDOM);
                break;
            case function_exists("openssl_random_pseudo_bytes") :
                $r = openssl_random_pseudo_bytes($length);
                break;
            case is_readable('/dev/urandom') : // deceze
                $r = file_get_contents('/dev/urandom', false, null, 0, $length);
                break;
            default :
                $i = 0;
                $r = "";
                while($i ++ < $length) {
                    $r .= chr(mt_rand(0, 255));
                }
                break;
        }
        return substr(bin2hex($r), 0, $length);
    }
}

Firefox 및 Chrome에서 테스트

이점

• 더 나은 보안
• 공격자에 대한 제한된 액세스
• 쿠키가 도난 당할 때 단일 액세스에만 유효합니다
• 다음에 원래 사용자가 사이트에 액세스하면 도난을 자동으로 감지하여 사용자에게 알릴 수 있습니다

불리

• 여러 브라우저 (모바일 및 웹)를 통한 지속적인 연결을 지원하지 않습니다
• 사용자는 다음 로그인 후에 만 ​​알림을 받기 때문에 쿠키를 도난 당할 수 있습니다.

빠른 수정

• 지속적인 연결이 필요한 각 시스템에 대한 승인 시스템 도입
• 인증을 위해 여러 쿠키 사용

여러 쿠키 접근

공격자가 쿠키를 훔치려 고 할 때 쿠키는 특정 웹 사이트 나 도메인에만 집중합니다. example.com

그러나 실제로 두 개의 다른 도메인 ( example.com & fakeaddsite.com ) 에서 사용자를 인증하여 “광고 쿠키”처럼 보이게 할 수 있습니다

• 사용자 나를 기억 하여 example.com 에 로그온
• 쿠키에 사용자 이름, 토큰, 참조 저장
• 데이터베이스에 사용자 이름, 토큰, 참조를 저장하십시오. Memcache
• get 및 iframe을 통해 refrence ID를 fakeaddsite.com 으로 보냅니다.
• fakeaddsite.com은이 참조를 사용하여 데이터베이스에서 사용자 및 토큰을 가져옵니다.
• fakeaddsite.com은 서명을 저장합니다
• 사용자가 fakeaddsite.com에서 iframe으로 가져 오기 서명 정보를 반환하는 경우
• 데이터를 결합하고 유효성 검사를 수행하십시오.
• ….. 당신은 나머지를 알고

어떤 사람들은 두 가지 다른 쿠키를 어떻게 사용할 수 있는지 궁금 할 것입니다. 가능은 잘 상상 example.com = localhost하고 fakeaddsite.com = 192.168.1.120. 쿠키를 검사하면 다음과 같습니다

위 이미지에서

• 현재 방문한 사이트는 localhost입니다
• 192.168.1.120에서 설정된 쿠키도 포함합니다.

192.168.1.120

• 정의 된 내용 만 수락 HTTP_REFERER
• 지정된 연결 만 허용 REMOTE_ADDR
• 자바 스크립트 없음, 콘텐츠 없음

이점

• 공격자를 속인 시간의 99 %
• 공격자가 처음 시도 할 때 계정을 쉽게 잠글 수 있습니다
• 다른 방법과 마찬가지로 다음 로그인 전에 공격을 방지 할 수 있습니다

불리

• 단일 로그인만으로 서버에 여러 요청

개량

• iframe 사용 완료 ajax

답변

TABLE users:
UID - auto increment, PK
username - varchar(255), unique, indexed, NOT NULL
password_hash - varchar(255), NOT NULL
...

TABLE sessions:
session_id - varchar(?), PK
session_token - varchar(?), NOT NULL
session_data - MediumText, NOT NULL

TABLE autologin:
UID - auto increment, PK
username - varchar(255), NOT NULL, allow duplicates
hostname - varchar(255), NOT NULL, allow duplicates
mac_address - char(23), NOT NULL, unique
token - varchar(?), NOT NULL, allow duplicates
expires - datetime code