Melhorar segurança de login

você salva a senha no bd em texto plano? isso é terrível! :o

use algum tipo de hash

veja

http://rberaldo.com.br/seguranca-em-sistemas-de-login-senhas-e-cookies/

voce diz criptografar? md5?

uma vez eu tentei mas o sistema tem um "esqueci a senha" e ai a senha é enviada para o email da pessoa, ai com o md5 eu nao consegui fazer isso, é possivel? rs

valeu pela resposta, vou pesquisar sobre isso!

tem algo mais? implementando apenas md5 ja fica seguro?

>
voce diz criptografar? md5?

criptografia é uma coisa. hash é outra.

em suma, criptografia tem volta. hash, não. md5 é um hash.

leia mais sobre isso, pois é importante

>
uma vez eu tentei mas o sistema tem um "esqueci a senha" e ai a senha é enviada para o email da pessoa, ai com o md5 eu nao consegui fazer isso, é possivel? rs

Experimente clicar em 'esqueci minha senha' aqui no fórum (isso vale pra muitos outros. o wordpress, por exemplo). Ele não manda a sua senha. Ele manda um link único para você criar outra senha. Outra possibilidade é gerar uma senha aleatória, enviar pro usuário e pedir pra ele trocar o mais rápido possível.

Fato é que você não pode salvar a senha em texto plano. A senha não lhe interessa em nada, só lhe interessa autenticar o usuário.

Veja os casos de vazamento do LinkedIn, do Yahoo... imagine se essas senhas não tivessem nem um hash nem nada :)

>
tem algo mais? implementando apenas md5 ja fica seguro?

use um "salt". leia o link que lhe indiquei, que entenderá melhor.

e há outras opções de hash mais seguros, como sha1, sha612 etc

Beraldo, obrigado pela ajuda até agora.. resolvi utilizar md5 e parece que está tudo funcionando dentro dos conformes..

segue minha autenticação modificada:

<?php
ob_start();
session_start();
include ("conexao.php");

// função anti sql injection
function anti_injection($sql)
{
// remove palavras que contenham sintaxe sql

$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);
$sql = mysql_real_escape_string($sql);

$sql = trim($sql);//limpa espaços vazio
$sql = strip_tags($sql);//tira tags html e php
$sql = addslashes($sql);//Adiciona barras invertidas a uma string

return $sql;
}

// pega os campos do formulario de login

$user = anti_injection($_POST['usuario']);
$pass = md5(anti_injection($_POST['senha']));
$enviado = $_POST["enviado"];

if ($enviado == "posted"){

// verifica existência dos campos...
if (!isset($user) or !isset($pass)) {

 echo "<script>";
	echo "alert('Login ou Senha incorretos!');";
	echo "window.location.href='../'";
	echo "</script>";
exit;
}
 // verifica se campos estão vazios...

if (empty($user) or empty($pass)) {

	echo "<script>";
	echo "alert('Login ou Senha incorretos!');";
	echo "window.location.href='../'";
	echo "</script>";
exit;
}

// busca usuario no banco

$query = "select * from tbl_usuarios where login = '$user' and senha = '$pass'";
$result = mysql_query($query);

// contagem se usuario existe
$contagem = mysql_num_rows($result);

// se contagem for igual à 0

if ($contagem == 0) {
 // ir para página de erro ?>
<script>document.location = '../erro.php'</script>
<?php
exit;
}

// se contagem for válida ( igual à 1 )
else {
// cria as sessões do usuario

$_SESSION['usuario_id'] = mysql_result($result,0,'id');
$_SESSION['usuario_nome'] = mysql_result($result,0,'nome');
$_SESSION['nivel'] = mysql_result($result,0,'nivel');
$_SESSION['email'] = mysql_result($result,0,'email');

//redireciona para pagina restrita

?><script>document.location = '../painel.php'</script><?php
}

mysql_close($conexao);

}
?>

isso já mantem o sistema mais seguro correto? mas ainda há vulnerabilidade? o que seria bom fazer a mais?

Quanto ao salt number, não consegui me virar sozinho com os exemplos do artigo.. se for MELHOR e simples de implementar ao meu codigo, aceito qualquer ajuda.. hehe

ate mais

esta linha é desnecessária:

$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);

você tem que proteger o sistema, mas sem danificar os dados. Imagine se este fórum retirasse essas strings? O fórum de SQL não serviria para nada

E sobre o addslashes(), use apenas quando magic_quotes_gpc estiver inativo.

Veja o exemplo do manual do php:

if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST['lastname']);
} else {

 $lastname = $_POST['lastname'];
}

fonte: http://br2.php.net/get_magic_quotes_gpc

entendi..

então no caso dessa função... eu poderia utilizar dessa forma?

function anti_injection($sql)
{
// remove palavras que contenham sintaxe sql
$sql = mysql_real_escape_string($sql);
$sql = trim($sql);//limpa espaços vazio
$sql = strip_tags($sql);//tira tags html e php
if (!get_magic_quotes_gpc()) {
$sql = addslashes($sql); //Adiciona barras invertidas a uma string
}

return $sql;
}

assim é suficiente, sim. Aliás, pode ser até demais em alguns casos, pois retira até tags html, que às vezes você pode permitir

recomendo ler esta discussão :thumbsup: