php Olá, gostaria de saber o opinião de vocês. Esse login está seguro ?

[Juliana~* 26]

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

O else acima, está relacionado a tentativa de login, que esta na funcao tentarlogin();

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Dps de limpar os caracteres indesejados, o mesmo passa pelo metodo md5. Obrigada !

[NoSlake 56]

Deveria usar Blowfish para a criptografia da senha, é o método mais seguro e é simplíssimo de usar, basta ter uma versão atualizada do PHP, gerar um hash e chamar a função.

Sobre as suas funções eu não sei te dizer se é completamente seguro pois eu não manjo muito, mas aparentemente é válido, só não sei como está validando a sessão.

[Juliana~* 26]

Olá, estudei sobre o conteúdo dito por você e gostei. Com php 5 ainda fica muito mais facil.

 

// verificar se o usuario está logado

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

As funções são bem fáceis de compreender, e pelo que eu vi, seguro.

O mesmo ensinado aqui.

Sessões :

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[NoSlake 56]

É assim mesmo que funciona, tecnicamente falando essa é a criptografia one way, não dá pra descriptografar. Pra fazer o login vc tem que criptografar a senha e comparar com a do banco de dados.

Estive pensando aqui, eu tenho (tinha) a source de um sistema de login e cadastro seguro, doada por um amigo. Irei ver se ainda tenho e posto aqui.

[1Yekun 0]

Se alguém obter o session id de outra pessoa ela terá acesso total a conta.

[Juliana~* 26]

Se alguém obter o session id de outra pessoa ela terá acesso total a conta.

 

Como a pessoa iria conseguir ?

 

É assim mesmo que funciona, tecnicamente falando essa é a criptografia one way, não dá pra descriptografar. Pra fazer o login vc tem que criptografar a senha e comparar com a do banco de dados.

Estive pensando aqui, eu tenho (tinha) a source de um sistema de login e cadastro seguro, doada por um amigo. Irei ver se ainda tenho e posto aqui.

 

Obrigada !

Lembrando que é somente para fins acadêmicos. ( sei la pq falar isso mais vai que né )

[NoSlake 56]

Source gentilmente doada pelo

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[@rnxn 353]

MD5 é um algoritmo quebrado, é claro que usá-lo ou não vai depender da sua aplicação. Mas nem vou me aprofundar nisso, Google está aí e você pode encontrar mais informações, para começar pode ler

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

.

 

Outro ponto frágil é essa consulta que você está fazendo.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

, a regra é clara: Nunca confie na informação enviada pelo client. Procure por prepared statements, provavelmente PHP deve ter isso implementado. É claro que, usar PS é apenas uma "ajudinha", isso não vai tornar seu sistema seguro, tem muitos pontos a serem considerados nesses logins da vida.

 

Um outro recurso que você deveria procurar são filtros, não sei se PHP possui isso, mas você (que conhece a linguagem melhor que eu) pode saber o que é, e, o que pesquisar após ler esse

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

. Embora ali seja mostrado código Java, a parte relevante são as explicações do que são e para o que serve um filtro.

[1Yekun 0]

Como a pessoa iria conseguir ?

 

Usando XSS,por exemplo.

[Juliana~* 26]

Os filtros eu irie fazer, depois, tinha esquecido kkk.

Irei ler sobre

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

, bati o olho e já entendi, mas irei ler.

 

Não estou usando o md5 mais, no script abaixo pode-se perceber que está usando bcrypt do php5, procurando na internet achei comentários bons sobre o mesmo.

 

Obrigada pela dica pessoal !

[NoSlake 56]

Só mais uma completada, nunca use JavaScript e confie nele, alguém pode simplesmente desativá-lo. Ou nos cookies, alguém pode editá-lo

Por exemplo se for remover os caracteres do bloco de texto com Java, só desativá-lo e escrever o que quiser.

Até mais!

[1Yekun 0]

Só mais uma completada, nunca use JavaScript e confie nele, alguém pode simplesmente desativá-lo. Ou nos cookies, alguém pode editá-lo

Por exemplo se for remover os caracteres do bloco de texto com Java, só desativá-lo e escrever o que quiser.

Até mais!

 

Mesmo com a validação server-side, uma validação client-side é sempre bem vinda.

[@rnxn 353]

Mesmo com a validação server-side, uma validação client-side é sempre bem vinda.

 

E necessária. (:

[Juliana~* 26]

Agora me veio outra perguntinha kk

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Isso seria o suficiente para os usuários não terem acesso direto ao arquivo ou não ?

 

no caso

 

Se a url atual é class-conexao.php, por exemplo, do header para a index.

[☢|EXPL01T3R|☣ 50]

essa versão esta bem melhor

 

http://www.webcheats.com.br/forum/programacao-duvidas-ajuda/2500369-ola-gostaria-de-saber-o-opiniao-de-voces-esse-login-esta-seguro.html#post9389285

 

vi que vc disse que não iria usar MD5 na realidade, já ajuda mais ainda, eu diria pra usar SHA1 ou SHA256, é um algoritmo que pra aplicação WEB tem um resultado bom, pois tem uma segurança boa e um desempenho bom tbm, ainda mais que vc esta usando SALT

 

no geral só precisa cuidar do resto da aplicação pra evitar vulnerabilidades como SQL injection, embora com uma implementação dessa na senha, vai complicar um pouco da vida de quem for tentar quebrar a senha, não é impossíevel, mas vai ser bem difícil, terá de conseguir o SALT e depois partir pro rainbow table, além de falhas que permitam roubo de sessão e tals..

 

Sugiro que de uma olhada nos guias de desenvolvimento seguro da OWASP, vão ajuda bastante no seu projeto

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[Juliana~* 26]

Obrigada a todos que comentaram, agora com essas dicas poderei estudar melhor. Estou gostando dos novos métodos adotados por causa do conteúdo ser diferente.

Quando concluir, estarei disponibilizando as classes que estou fazendo para ajudar outros no aprendizado. Obrigada !