18

Un sitio web tenia enlazado un sitio web externo mediante un iframe, por ejemplo:

example.com/hls/archive.php?token=f4290354ed8529245633fd8266a8238c44e4ef5aa87d50ff16

A mí me gustó ese contenido y lo enlacé en mi sitio web, pero no me mostraba los datos despúes de analizar su sitio web una tras otra me di cuenta que mi URL donde estaba el iframe del contenido debía añadir esto:

misite.com/iframe.php?noimportaesto=example.com

El dominio tomado por $_get = =example.com era la clave del token f4290354ed8529245633fd8266a8238c44e4ef5aa87d50ff16 para acceder al contenido.

Desde allí, nace mi idea de bloquear el acceso de cada tema que tenga mi subdominio de contenidos (ej. view.site.com/contenido1.php) bloquear el acceso si ingresa con un token que ya expiró o que no es válido, y si ese es el caso mostrar un mensaje de advertencia comunicando que será redireccionado en x segundos a otro sitio web.

Pero el acceso al contenido debe ser único, solo para ese usuario, es decir, que no pueda compartir el enlace generado con el token, que si lo hace, que no se visualice el contenido.

Y que ese token generado solo sea válido para el contenido que fue redirecionado desde el dominio example.com al contenido: view.site.com/contenido1.php que solo le permita el acceso aquella URL, si intenta acceder a otro contenido contenido2.php, que este no sea válido, debe generar siempre un token desde el dominio example.com para acceder a dicho u otro contenido.

Si se rompe la seguridad del token cookie o no se encuentra, simplemente pasa a ser false, y si existe pasa hacer true.

El token va ser generado usando la nueva tecnología de PHP, entre ellas el uso de: bin2hex(random_bytes) o bin2hex(openssl_random_pseudo_bytes).

Sin uso de base de datos ni uso de .htaccess, el token único debe guardarse en una cookie y debe expirar dentro de 4 horas.

Hasta el momento puedo generar un token, pero no sé cómo validarlo con lo comentado:

<?php
  //http://php.net/manual/es/function.phpversion.php
  //echo 'Versión actual de PHP: ' . phpversion();

  session_start();
  $expiry_timestamp = time() + $expiry;
  //https://davidwalsh.name/random_bytes //https://secure.php.net/random_bytes
  //$token = bin2hex(random_bytes(64)); //Disponible apartir de PHP V 7.
  $token = bin2hex(openssl_random_pseudo_bytes(64));
  $time_token = 12000;
  $time_token = srand(floor(time() / $time_token));
  //echo $token;
  $_SESSION['token']=$token;
?>
<html>
    <head>
    </head>
    <body>  
        <a href= "view.site.com/contenido1.php?token=<?php echo $_SESSION['token']; ?>">Contenido 1</a>
    </body>
</html>

No entiendo muy bien de cómo funcionaría este proceso, me pueden explicar mejor el tema. El token debo funcionar algo similar Desactivar sesión después de un tiempo solo que en vez de sesión se use una cookie que coincida con el token único generado para aquel usuario, tomando como claves de referencia el dominio y el subdomino.

Fuente:

17
  • 1
    Si usas Apache, podrías usar .htaccess para bloquear acceso externo a los ficheros o restringirlo de diferentes modos.
    – Alvaro Montoro
    Commented el 31 jul. 2018 a las 14:58
  • 1
    Quizás a la pregunta le haría falta un poco más de información: ¿cómo estás implementando el token único? ¿cómo implementas la seguridad del token cookie? No termina de quedar claro cómo lo quieres implementar o imponer cierta seguridad.
    – Alvaro Montoro
    Commented el 31 jul. 2018 a las 15:02
  • 3
    @AlvaroMontoro A lo mejor utilizar algo similar a: Desactivar sesión después de un tiempo como referencia, pero en vez de sesiones usar cookie que coincida con ese token guardado al usuario.
    – Eduardo
    Commented el 31 jul. 2018 a las 15:40
  • 3
    @AlvaroMontoro Hola, me gustaría que fuera solamente con PHP, sin uso de .htaccess exista una forma de saber que viene de ese sitio y mediante PHP esa información recibida la procese generando un token y se guarde en una cookie por 4 horas, que solo funcione para ese contenido y no para otra URL, no recuerdo muy bien, una vez utilice algo similar al insertar la orden de un pedido, una sesion por tiempo, cuando trataba de ingresar nuevamente a esa URL de orden, le mostraba un mensaje personalizado de error.
    – Eduardo
    Commented el 31 jul. 2018 a las 15:46
  • 1
    Debes editar la pregunta para añadir lo que has intentado y las dudas concretas de seguridad que estés teniendo. Tal y como está redactada no termina de quedar claro.
    – Alvaro Montoro
    Commented el 31 jul. 2018 a las 15:47

3 respuestas 3

4
+200

Después del chat, la conclusión es la siguiente:

  • Para que el usuario pueda acceder a www.mipagina.com/seccion1, www.mipagina.com/seccion2, www.mipagina.com/seccion3,etc
  • Primero debe pasar por www.miotrapagina.com/generarToken y seleccionar a que sección quiere el token

En la pagina que genera el token, El formulario es utilziado para mandar los parametros seccion y token en formato POST y de esta forma mantener seguros y fuera de vista los datos

generarToken.php:

<form id="myForm" action="www.miotrapagina.com/validarToken.php?Secreto24A" method="post">
    <?php
        $seccion = $_GET["seccion"]; 
        $token = bin2hex(random_bytes(64));
        echo "<input type=\"hidden\" name=\"seccion\" value=\"$seccion\">";
        echo "<input type=\"hidden\" name=\"token\" value=\"$token\">";
    ?>
</form>
<script type="text/javascript">
    document.getElementById('myForm').submit();
</script>

En la otra pagina en la que solo quieres acceder mediante el token en la cookie, primero tendras qu establecer dicho token para la seccion por lo tanto:
validarToken.php:

// Te aseguras que solo lo que redirijas con la clave pueda acceder a este archvio,
// sino lo sacas fuera
$origen = $_SERVER['REQUEST_URI']; 
if($origen!= "/validarToken.php?Secreto24A"){
   header("location:../");
}

// Obtienes las 2 variables post que tienen la seccion y el token a establecer
$seccion = $_POST["seccion"];
$token = $_POST["token"];


//Obtienes el la hora acutual y le sumas 4 horas
$time = 'Tue May 15 10:14:30 +0000 2012';
$horaExpiracion = new DateTime($time);
$horaExpiracion->modify('+ 4 hour');

// Inicias la session y estableces en el array secciones, la sección 
// activada y su fecha de expiracion
session_start();
$_SESSION["secciones"][$seccion] = ["token" => $token,
         "horaExpiracion"=>$horaExpiracion];

// Despues finalmente lo llevas a inicion
header("location:../");

Llegado a este punto el usuario tiene una cookie en la cual tiene una seccion con un token unico.

Lo unico que falta es añadir unas lineas de código en todas las secciones que quieras proteger por token:

$seccionActual = "Seccion1"; // EL nombre de la seccion donde esta este codigo;
session_start();

// Obtienes el array que contiene las secciones y sus tokens del usuario
$secciones = $_SESSION["secciones"];
$exite = false;

// Compruebas si tiene token de esa sección
foreach ($secciones as $nombreSeccion => $datos) {
    if($nombreSeccion == $seccionActual){
    $existe = true;
}
if(!$existe){
   // Dirección a algún sitio si no tiene el token de esta sección
   header("location:  ");
}

// Obtienes la hora en la que expira el token de esta seccion
$horaExpiracion = $secciones[$seccionActual]["horaExpiracion"];

// Variable con la hora actual
$time = 'Tue May 15 10:14:30 +0000 2012';
$horaActual = new DateTime($time);
if($horaActual > $horaExpiracion){
   // Redireccion a algun sitio si el token esta expirado
   header("location: /seccion1.php  ");
}

// Si ha llegado hasta aqui significa que el token es correcto
// y todavia no ha expirado, por lo tanto:
// TU CODIGO...

Explicacion de funcionamiento

  1. Para generar un token en www.mipagina.com debe acceder a www.mipagina.com/gerarTokne.php?seccion=seccionInicial en la cual tiene que tener un paramentro sección .
  2. Este fichero php generarara un token para dicha seccion y mediante el formulario redirigirá al usuario a la otra pagina mediante un POST, de esta forma mandando la sección y el token de forma segura.
  3. En la otra pagina, el fichero validarToken.php recibirá las peticiones POST y añadira a la variable $_SESSION["secciones"] que contiene un array otra sección, en la cual establecerá una fecha de expiracion para dicho token. Al acabar redirigirá al usuario a la seccion teniendo ya el token validado.
  4. El codigo de verificación se debe establecer al principio de cada sección, de esta forma comprobara si el token y la hora son correctos y si resulta no serlo lo redireccionara de la selección a otro sitio seleccionado.

Tiene una pequeña brecha de seguridad ya que cuando el fichero generarToken.php crea el formulario, en las herramientas de desarollador los valores son visibles durante unos mili segundos. Aun asi la redireccion a esta pagina y el tiempo que tarda esta de sacarte de ella es muy diminuto como para que los usuarios se enteren y en todo caso el mayor problema seria que un usuario pudiera ver cual es su token para la sección pero en ningún caso validarlo el mismo o pesarselo a alguien para que lo use ya que el siguiente fichero lo rechazaría.

0
2

Edit para usar técnicas mas seguras.

Para generar tokens (hmacs) basados en keys compartidas con tiempo de expiración se puede usar este algoritmo:

envia_hmac.php

<?php
date_default_timezone_set("UTC");
define('APP_KEY', "952e61a5f7bec82d01cc98493abb08c47eadcb901c0c8950937fd05c3fa3cd2f");

/****************************************/

define('APP_DEFAULTS_ALGORITHM', 'sha256');
function firmaCosas(
  $cosas = array(),
  $firma = NULL,
  $algo = APP_DEFAULTS_ALGORITHM
){
  $resultado = NULL;
  if(
    !empty($cosas) &&
    !empty($firma)
  ):
    $resultado = hash_hmac($algo, implode( ".", $cosas ), $firma);
  endif;
  return $resultado;
}

/****************************************/

$msg = "algo para mostrar";
$timestamp = time();

$firma = firmaCosas(array($msg, $timestamp), APP_KEY);
?>
<form method="get" action="recibe_hmac.php">
  <input type="hidden" name="firma" value="<?php echo $firma; ?>" />
  <input type="hidden" name="timestamp" value="<?php echo $timestamp; ?>" />
  <input type="hidden" name="msg" value="<?php echo $msg; ?>" />
  <textarea name="texto">
  </textarea>
  <input type="submit" value="enviar"/>
</form>

recibe_hmac.php

<?php
date_default_timezone_set("UTC");
define('APP_KEY', "952e61a5f7bec82d01cc98493abb08c47eadcb901c0c8950937fd05c3fa3cd2f");

/****************************************/

define('APP_DEFAULTS_ALGORITHM', 'sha256');
function firmaCosas(
  $cosas = array(),
  $firma = NULL,
  $algo = APP_DEFAULTS_ALGORITHM
){
  $resultado = NULL;
  if(
    !empty($cosas) &&
    !empty($firma)
  ):
    $resultado = hash_hmac($algo, implode( ".", $cosas ), $firma);
  endif;
  return $resultado;
}

/****************************************/

define('MINUTOS', 15);

// Si tenemos firma y timestamp
if (
  !empty($_GET['firma']) &&
  !empty($_GET['timestamp'])
) :
  // recreamos la firma juntando mensaje y timestamp usando nuestro APP_KEY
  $msg = !empty($_GET['msg'])?$_GET['msg']:'';
  $timestamp = $_GET['timestamp'];
  $mifirma = firmaCosas(array($msg, $timestamp), APP_KEY);

  // calculamos la diferencia entre el timestamp recibido y el actual
  $mitimestamp = time();
  $dateFormat = DATE_ATOM;
  var_dump(
    "actual : " . date($dateFormat, $mitimestamp),
    "emitido: " . date($dateFormat, $timestamp),
    "validez: " . date($dateFormat, $timestamp + MINUTOS * 60 ),
    "$mitimestamp > ( $timestamp + " . MINUTOS. " * 60 )", $mitimestamp > ( $timestamp + MINUTOS * 60 ),
  );
  // si han pasado mas de x segundos (MINUTOS * 60)
  // también expresable como:
  // if ($mitimestamp - $timestamp - MINUTOS * 60 > 0)
  if( $mitimestamp > ( $timestamp + MINUTOS * 60 ) ) :
    die("CUAK! el token ha expirado"); // el token ha expirado
  endif;

  // comparamos si las dos firmas son iguales
  if (
    hash_equals(
    $mifirma,
    $_GET['firma'])
  ) :
    // OK imprimimos
    var_dump( "GET:", $_GET );
  else :
    die("CUAK! la firma no es válida"); // la firma no es válida
  endif;
else :
  die("CUAK! faltan campos"); // faltan campos
endif;

Diferencias con la versión simple:

  • el token/hash se genera usando hash_hmac de esta manera no se usa un hash derivado directamente de la clave sino que se realizan dos pasadas generando claves internas y externas, en la primera pasada se genera un hash con el mensaje y la clave interna, la segunda pasada toma este hash y genera el hmac final con la clave externa, proveyendo mejor inmunidad contra ataques de longitud.

  • el algoritmo de hash utilizado en este ejemplo es sha-256, la lista completa de algoritmos soportados te la da la función hash_hmac_algos

  • el mensaje se construye a partir de un array de dos campos públicos: timestamp ( para calcular el expire ) y el texto a enviar ( si cambia alguno de los dos la firma no es válida )

  • la comparación del hash recibido contra el hash que generamos a partir de los datos y nuestra versión de la clave se realiza con la función hash_equals que protege contra ataques de timing.

** Es posible generar dos hashes y que uno sólo tenga parte pública verificable, el segundo hash depende del primero e incluye otra info, de esta manera hay otro secreto compartido que puede indicar un recurso, un token extra que intercambia por detrás ( server to server, sockets, filesystem compartido, etc.. ), o una acción permitida, sección actual, etc... ( si el hmac con componente público es válido, también lo será el segundo )

versión simple con hash md5

En ambos dominios tenes definida la clave secreta

$APP_SECRET_KEY = "laclavesupersecreta";

código crear token :

$timestamp = time();
$signature = strtoupper(md5($timestamp . $APP_SECRET_KEY));

$token = $timestamp."x".$signature;

echo ("Token:".$token.PHP_EOL);
echo ("timestamp:".$timestamp.PHP_EOL);
echo ("signature:".$signature.PHP_EOL);

código verificar token :

// simulo un retraso por si lo metes todo en un solo script
sleep(5);
// recupero el timestamp y el hash
$destoken = explode('x', $token);
$time = $destoken[0];
$hash = $destoken[1];

// saco la diferencia de tiempos para expirar el token
$timeDiff = time() - $time;
// reconstruyo el token con mi versión de la clavesecreta
$signature = strtoupper(md5($time . $APP_SECRET_KEY));



if ($timeDiff > 4 * 60 * 60) :
  // si hay mas de 4 horas de diferencia
  echo "ERROR ERROR PASó MUCHO TIEMPO".PHP_EOL;
  die("token expirau");
endif;



if ($signature !== $hash ) :
  // los hashes no coinciden
  echo "ERROR ERROR EL TOKEN NO SIRVE".PHP_EOL;
  die("token no válido");
endif;


echo "A PARTIR DE AQUÍ ESTA TODO BIEN".PHP_EOL;

echo ("Token:".$token.PHP_EOL);
echo ("timeDiff:".$timeDiff.PHP_EOL);
echo ("signature:".$signature.PHP_EOL);

Este token lo podes pasar por get, post, meter en una cookie etc. El método de hash en este caso puse md5 pero podes usar el que quieras. Uso un separador x pero si generas los timestamps con padding no haría falta, también podes cambiar el orden, intercalar caracteres, etc.

La clave se hashea, nunca se (des)encripta.

Por ejemplo:

En dominio.com generas los enlaces que incluyan el token, onda: sub.dominio.com/pagina-que-no-se-muestra-si-no-hay-token-valido?token=1533076524x2923B7A49999D4AA216CEBC1D7CB9A14

Aquí se está enviando el token por get y lo recibirías por get:

En la página destino si $_GET['token'] está vació o el token es inválido no mostras la página.

En otras páginas podes usar la misma clave, o una clave diferente por página.

11
  • Hola, disculpe cual es el if global, donde yo pueda hacer esto if (){ echo "contenido"; }else { echo "acceso denegado";} y como se envía la URL, en estos casos, desde el dominio A, al dominio B, y el token funciona solo para el enlace que abrió site.com/contenido-uno o con ese mismo token tiene acceso a todo el subdominio.
    – Eduardo
    Commented el 31 jul. 2018 a las 23:11
  • por ejemplo sub.dominio.com/pagina-que-no-se-muestra-si-no-hay-token-valido?token=1533076524x2923B7A49999D4AA216CEBC1D7CB9A14, ahi lo envias por get y lo recibirias por get si GET['token'] está vacio o el token es inválido no mostras la página. en otras páginas podes usar la misma clave, o una diferente por página Commented el 31 jul. 2018 a las 23:16
  • los 2 if del "comprobar token" detienen el script, ahí podes devolver mensaje de error o redirigir, si pasa los if's es que el token es válido Commented el 31 jul. 2018 a las 23:17
  • voy a practicarlo para entender mejor, esto debe ir en el domino y en subdominio $APP_SECRET_KEY = "laclavesupersecreta"; el generador de token solo en el dominio, el otro código en el subdominio verdad?
    – Eduardo
    Commented el 31 jul. 2018 a las 23:20
  • exactamente ambos dominios saben la clave secreta, y la usan para generar los tokens que comparten públicamente. Commented el 31 jul. 2018 a las 23:22
1

lo haces con un post, y el valor puede ser una $_SESSION que venga de la DB, asi cuando llegue a tu sitio el verifica que exista el post y que adicionalmente sea igual al de la db, para mayor seguridad puedes encryptar informacion antes de enviar asi los usuarios no sabran que parametro estan enviando

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.