0

Ese es mi problema, y aquí explico mejor: tengo un sistema ya hecho, con inicio de sesión y registro andando a la perfección. Este sistema principal se le llamará "Control de productos" y es solo un ejemplo.

Entonces, estoy haciendo otro mini sistema con Laravel, pero necesito los datos de registro del sistema "Control de productos", para así no hacer nuevo inicio de sesión y registro en este segundo sistema laravel instalado en una subcarpeta. Este sistema no tiene nada que ver con el sistema principal.

Mi idea es que cuando se inicie sesión en el sistema principal se guarden con los datos del usaurio (nombre, apellido, correo) en un array dentro de $_SESSION

Entonces, cuando el usuario entre al sistema Laravel, tomo los datos y los guardo dentro de la BD en Laravel. Para así obtener los registros de ingreso al sistema secundario y otras cosas que se hagan en ellas.

Lo que no se es que si esto es completamente absurdo y expone la seguridad del usuario con ese intercambio de datos de los usuarios. No estoy especializado en este ámbito de seguridad.

Este es mi código del Sistema principal (al iniciar sesión):

$_SESSION['datos-para-sistema-secundario'] = array(
    'id' => $id,
    'name' => 'Juan',
    'surname' => 'Perez',
    'email' => '[email protected]',
);

Y con el sistema secundario solo obtengo esos datos y los guardo en la base de datos.

Aclaro que todo esto hasta ahora me funciona correctamente

No tengo problemas, es solo dudas. ¿La seguridad es muy débil? ¿El sistema corre riesgo de robo de información? ¿Existe una manera correcta de hacerlo? ¿Que procesos de seguridad debería llevar a cabo para evitar ataques?

Nunca guardo en esa variable global la contraseña, solo datos como nombre, apellido, email y otros irrelevantes como biografía, fecha, etc.

1
  • la sesion en php consiste en un cookie que tiene un ID, los datos que guardas en la session por lo general es un archivo en el servidor (fuera del alcance de la web) cuyo nombre es ese ID, los datos se guardan serializados. "por lo general" en este caso indica que si configuras php para que use redis, una db u otro mecanismo, los datos de sesion pueden estar en memoria del servidor o en una db. el cliente sólo guarda el id de sesion en un cookie, al ser el mismo dominio ambas aplicaciones pueden acceder a la sesion (via la cookie) si son subdominios hay que configurar el sesion cookie Commented el 15 feb. 2019 a las 23:07

1 respuesta 1

0

Siempre puedes añadir una capa de seguridad adicional evitando exponer los datos de forma directa en la sesión, por ejemplo codificándolos usando una clave secreta que debes tener en ambos sistemas. No compartas esta clave en la sesión, ni por otros mecanismos.

<?php

/////////////////////////////////////////////////////////////////////
// Sistema uno

$key = 'aGhpcyBpcy4BhbiBlb4mNvZGVk676IHN0cmluZw';
$data_first_system = [
    'datos-para-sistema-secundario' => [
        'id'      => 1,
        'name'    => 'Jonathan',
        'surname' => 'Barrios',
        'email'   => '[email protected]',
    ],
];

// Conviertes tu array de datos en un JSON string para poder procesarlo:
$data_first_system = json_encode($data_first_system);

// Codificas con base 64 (una o varias veces, puedes jugar con esto)
$encoded_data_in_first_system = base64_encode($data_first_system);
// echo $encoded_data_in_first_system . '<br>'; // trace
$encoded_data_in_first_system = base64_encode($encoded_data_in_first_system . $key);
// echo $encoded_data_in_first_system . '<br>'; // trace

// aki pasas los datos al sistema 2, si usas sesiones:
$_SESSION['user-data'] = $encoded_data_in_first_system;


/////////////////////////////////////////////////////////////////////
// Sistema 2

//recuperas los datos de sesión en el segundo sistema (con el mecanismos que ahora estés usando):
$encoded_data_from_first_system = $_SESSION['user-data'];

// empiezas a decodificar los datos
// lo que tienes ahora será tu array de datos del usuario codificado + la key
$partially_decoded_data = base64_decode($encoded_data_from_first_system);

// Obtienes el array de datos codificado
$key = 'aGhpcyBpcy4BhbiBlb4mNvZGVk676IHN0cmluZw';
$position_of_key = strpos($partially_decoded_data, $key);
$original_encoded_data = substr($partially_decoded_data, 0, $position_of_key);

// Decodificas el array de datos original
$original_data = base64_decode($original_encoded_data);
$original_data = json_decode($original_data);

// Ver resultados:
echo 'Resultado: <pre>';
var_dump($original_data);


y así lo que has pasado en la sesión es:

ZXlKa1lYUnZjeTF3WVhKaExYTnBjM1JsYldFdGMyVmpkVzVrWVhKcGJ5STZleUpwWkNJNk1Td2libUZ0WlNJNklrcHZibUYwYUdGdUlpd2ljM1Z5Ym1GdFpTSTZJa0poY25KcGIzTWlMQ0psYldGcGJDSTZJbXB2Ym1GMGFHRnVZa0JsZUdGdGNHeGxMbU52YlNKOWZRPT1hR2hwY3lCcGN5NEJoYmlCbGI0bU52WkdWazY3NklITjBjbWx1Wnc=

y al final lo que obtienes es tu array de datos original.


Por supuesto puedes cambiar las claves de forma periódica, usar conjuntos de claves según algún criterio determinado, por ejemplo, una por día de la semana, añadir un timestamp en los datos para determinar cuál usar, etc.

Saludos.

5
  • Perfecto, no había pensado eso. Pero no creo que base64 sea lo mas seguro... buscaré alternativas de base64. Muchas gracias men!
    – Jonathan
    Commented el 15 feb. 2019 a las 21:53
  • @Jonathan La seguridad te la da el añadir la clave al codificar, puedes usar otros sistemas de codificación. De todos modos en tu caso concreto, si puedes transferir los datos usando la sesión puedes considerar que solo tienes un sistema, si la sesión se puede acceder es que el sistema en si esta comprometido, no el mecanismo de transferencia de datos.
    – Orici
    Commented el 15 feb. 2019 a las 21:56
  • el doble base64 no es muy seguro, del ultimo key usando base64decode.org obtengo {"datos-para-sistema-secundario":{"id":1,"name":"Jonathan","surname":"Barrios","email":"[email protected]"}}22[[coded뾈[. Commented el 15 feb. 2019 a las 23:02
  • Por eso dije que buscaría una alternativa de base64, aunque también la puedo complementar
    – Jonathan
    Commented el 15 feb. 2019 a las 23:30
  • si ambas apps estan en el mismo dominio/servidor no tiene mucho sentido, la info está en el lado del servidor y se accede por el id del cookie. si sospechas que el permanent storage de las sessions está comprometido, ahi hay problemas mayores ( tienen acceso al server ) Commented el 16 feb. 2019 a las 0:31

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.