1

Si bien es cierto que entre las cookies y las sesiones hay similitudes y diferencias, hay alguna alternativa a estas dos opciones?

Por una parte, la información de las cookies puede ser modificada por el usuario, por lo que almacenar, por ejemplo, el ID de un usuario no se recomienda. Y por otra parte, la información de una sesión se elimina una vez el usuario sale del navegador (si estoy equivocado en algo corregidme). Entonces, cómo se puede almacenar de forma segura la identidad del usuario y que ésta no pueda ser modificada ni se elimine al salir del navegador?

2
  • realmente es inevitable se necesita utilizar ambas, o a la vez si es un plataforma diferente la otra opción es guardar los datos en la base de datos... (En este caso sería para almacenar en la base de datos los productos agregados aún carro de compras) ahora puede observar más información sobre sesiones y seguridad aquí algo más sobre esto aquí el 11 dic. 2017 a las 21:59
  • Muchos frameworks, utilizan cookies para almacenar los ID de las sesiones almacenadas en el servidor. Aun cuando el usuario puede editar su valor, este puede ser protegido es decir con cookies encriptadas o firmadas (o acompañadas de un hash). La recomendación es nunca confiar ciegamente en los datos enviados por el usuario. O utilizar frameworks que permitan el uso funciones mas avanzadas con cookies .
    – Carlos487
    el 11 dic. 2017 a las 22:04

4 respuestas 4

6

Una sesión de PHP guarda de forma segura el nombre de usuario, el estado de inicio de sesión y otras cosas en la $_SESSION matriz, ya que está almacenada en el servidor. Lo único que se envía al navegador es una cookie única (llamada PHPSESSID a menos que la haya cambiado php.ini) que contiene la ID de la sesión, que es un número aleatorio único.

Una vez que su visitante tiene una sesión activa cada vez que solicita una página que tiene session_start() en la parte superior, session_start() observará la solicitud de una cookie llamada PHPSESSID, leerá el archivo de sesión del servidor (si la sesión existe y es válida) y restaurará el $_SESSION conjunto archivado. Esta matriz nunca necesita abandonar el servidor.

La cookie de sesión se configura sin una fecha de vencimiento (a menos que se meta con la session.cookie_lifetime opción en php.ini), por lo que el navegador la borra al apagar. El archivo de sesión en el servidor tiene un tiempo de caducidad, administrado por session.gc_maxlifetime (en segundos).

Camino a sesiones más seguras:

  • Use bcrypt, scrypt, Argon2 o PBKDF2 para descifrar sus contraseñas.
  • Use el sistema de administración de sesión integrado de PHP (más información español ingles)
  • Use HTTPS en todas partes, con Hypertext Strict Transport Security
  • Utilice un encabezado Content-Security-Policy para actualizar las solicitudes inseguras
  • Si necesita implementar una cookie "Recordarme", siga las instrucciones en la publicación de blog.

    1. Genera dos tokens aleatorios: a selector y identifier
    2. Almacene el selector y identifier en una cookie HTTP, establezca en httpOnly = true y secure = true para que solo sea accesible a través de HTTPS (y oculto a JavaScript)
    3. Guarde el selector y un hash (SHA256 está bien aquí) de la identifier tabla de tokens
    4. Autentique al usuario, en función del token almacenado en su cookie, en tiempo constante.

Puede observar más información sobre sesiones y seguridad aquí.

Lo que no debe hacer en un Sistemas de inicio de sesión seguro

Puede configurar las cookie con la session_set_cookie_params función o dentro de su php.ini.

session_set_cookie_params($lifetime = 0, $path = '/', $domain, $secure = true, $httponly = true);

Finalmente, debe crear una secuencia de comandos para registrar a los usuarios fuera de la sesión (y alentarlos a usarla en lugar de simplemente navegar). Este es un script de muestra:

<?php
  session_start();
  $params = session_get_cookie_params();
  setcookie(session_name(), '', 1, $params['path'], $params['domain'], $params['secure'], isset($params['httponly']));
  session_regenerate_id(true);
  session_destroy();
  session_write_close();
  header('Location: your_login_page.php');
  exit;

También después de un inicio de sesión o cierre de sesión exitoso, cambie la identificación de la sesión :

session_regenerate_id();

para cerrar la sesión:

session_regenerate_id(true);

Esta publicación explica en teoría la siguiente Fuente y a Gatekeeper que la implementa.

fuente

Ahora Ud puede investigar más a fondo.

1
0

Intenta usar el LocalStorage del navegador. Con javascript es bastante sencillo de implementar y me ha salvado la vida varias veces cuando quiero datos que persistan entre sesión y sesión. Aquí hay un ejemplo. Ahora, respecto a la seguridad, pues si te adelanto que es editable por el usuario con conocimiento del tema. Pero ya depende de ti implementar medidas para validar esa información antes de usarla. Por último puedes usar la base de datos para manejar la información del usuario y que no sea de acceso al mismo.

0

Entonces, cómo se puede almacenar de forma segura la identidad del usuario y que ésta no pueda ser modificada ni se elimine al salir del navegador?

No puedes evitar que el usuario elimine o modifique su cookie de sesión. El usuario siempre podrá modificar su identificador de sesión, o eliminar sus cookies para que en la siguiente visita no detectes que era el mismo usuario. Usar LocalStorage no soluciona esto, ya que el usuario también puede modificar los datos de LocalStorage.

Y asi debe ser, por motivos de privacidad. No puedes obligar a un usuario a enviar su ID a tu servidor si no quiere.

Por una parte, la información de las cookies puede ser modificada por el usuario, por lo que almacenar, por ejemplo, el ID de un usuario no se recomienda

Por ese motivo lo que se almacena en el value de la cookie es unicamente el ID de sesión, y los datos (como el ID de usuario asociado a dicha sesión), se almacenan en el servidor. De este modo el usuario solo puede cambiar el ID de sesión, que debería ser suficientemente aleatorio como para evitar esto.

Por último, un consejo: el sistema de sesiones y cookies es perfectamente seguro siempre que se use de forma correcta. No reinventes la rueda y asegurate de usar correctamente estos sistemas.

0

Soy novato y estoy intentando ponerme en el lugar de quien pregunta. Por eso me quedé pensando en tu comentario: "... por motivos de privacidad. No puedes obligar a un usuario a enviar su ID a tu servidor si no quiere ... " Pero se puede saber la dirección IP desde la cual ingresa. ¿No es verdad? El dato de la IP del "visitante" no es un dato menor, para saber desde donde se nos está creando problemas a la seguridad. No creo que quien pregunta esté tratando de reinventar la rueda. Parecería que tiene interés en reforzar la seguridad. No cambiaría nada, pero si agregaría mayor seguridad. Ante ataques a la seguridad, yo elaboraría una "lista negra de IPs". Pero mi propuesta, excedería lo que aquí se pregunta.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.