21

El problema de permitir restablecer la contraseña es que en ella, existe un grave agujero de seguridad.

Porque en mi archivo reset.php esta enviando el mismo código de activación de la cuenta que se genero cuando el usuario se registro.

Para un atacante, sería fácil realizar varios intentos, por ejemplo de está forma:

example.com/login-system/reset.php?email=ponercualquieremail%key=generarcódigoaleatorio

Y si llega a coincidir con los registros de la tabla users, el atacante puede cambiar la contraseña y acceder al sistema de acceso.

Todo ese agujero de seguridad debido por el mismo código de activación.

Tanto, este enlace, de restablecer la contraseña:

http://example.com/login-system/reset.php?email=example%40gmail.com&key=523db8c57a3d17d0860fa705c4c24ec62efc0c68f2f1443e39938361424099f1

Es el mismo para activar la cuenta:

http://example.com/login-system/verify.php?email=example%40gmail.com&key=523db8c57a3d17d0860fa705c4c24ec62efc0c68f2f1443e39938361424099f1

Es más yo puedo guardarme ese código que me llega para activar la cuenta, para restablecer la contraseña sin tener que ingresar el correo al formulario de restablecer password, simplemente por cambiar verify.php? por reset.php?

Ahora tengo la siguiente estructura de mi tabla users

+----------+-----------+--------+----------+------------+--------+
| id_user  | username  | email  | password | email_code | active |
+----------+-----------+--------------------------------+--------+
|      1   | karla     | karla@ | $2y$10...| 23db8c5... |   1    |
+-------------+-------------+--------------+------------+---------

Como puedo corregir este problema de seguridad, enviando ese código de activación junto con el id del usuario a otra tabla y con un tiempo de vencimiento, y que al momento de activar la cuenta ese registro se elimine, y que al solicitar restablecer la contraseña crear un nuevo código de verificación con fecha de vencimiento y al restablecer la contraseña ese registro nuevamente se elimine.

Mi código completo.

register.php

session_start();
include "require.ini.php";

if (isset($_POST['formsubmitted'])) {
    $msg = array();

    if (empty($_POST['username'])) {
        $msg[] = 'Por favor, ingrese un nombre de usuario';
    } else {
        $username = $_POST['username'];
    }

    if (empty($_POST['email'])) {
        $msg[] = 'Por favor, ingrese su correo electrónico';
    } else {
        if (preg_match("/^([a-zA-Z0-9])+([a-zA-Z0-9\._-])*@([a-zA-Z0-9_-])+([a-zA-Z0-9\._-]+)+$/", $_POST['email'])) {
            $email = $_POST['email'];
        } else {
            $msg[] = 'Tu dirección de correo electrónico no es válida';
        }
    }

    if (strlen($_POST['password']) <6){
        $msg[] = 'Su contraseña debe tener al menos 6 caracteres';
    }
    if ($_POST['password'] !== $_POST['password_again']){
        $msg[] = 'Su contraseña no coincide';
    } else {
        $password = $_POST['password'];
    }

    if (empty($_POST['firstname'])) {
        $msg[] = 'Por favor, ingrese su nombre';
    } else {
        $first_name = $_POST['firstname'];
    }

    if (empty($msg)) {
        $stmt = $con->prepare("SELECT * FROM users WHERE email=? OR username=?");
        $stmt->bind_param("ss",$email,$username);
        $stmt->execute();
        $stmt->store_result();

        if ($stmt->num_rows>0) {
            echo "¡El usuario con este correo electrónico ya existe!";
        } else {

            $hash_password = password_hash($password, CRYPT_BLOWFISH);
            $key = bin2hex(openssl_random_pseudo_bytes(32));
            //$key_two = bin2hex(random_bytes(32)); // Disponible apartir de PHP V.7
            $active_default = 0;
            $stmtA = $con->prepare("INSERT INTO users (username, email, password, first_name, email_code, active) VALUES (?, ?, ?, ?, ?, ?)");
            $stmtA->bind_param("sssssi", $username,$email,$hash_password,$first_name,$key,$active_default);

            if($stmtA->execute()){
                echo 'El enlace de confirmación ha sido enviado por correo electrónico. ¡Por favor, haga clic en el enlace del mensaje para activar su cuenta!';

                $to = $email;
                $subject = "Por favor, verifique su cuenta.";
                $message_body = 'Hola '.$first_name.',
                ¡Gracias por registrarte!

                Estas aún solo paso de ser parte de nuestra comunidad.

                Por favor, haga clic en este enlace para activar su cuenta:

                http://example.com/login-system/verify.php?email='.urlencode($email).'&key='.$key.'';
                mail($to, $subject, $message_body, 'From: [email protected]');
                //header("location: index.php");
                //exit;
            } else {
                echo "Ha ocurrido un error internamente, por favor, vuelva intertar enviar su solicitud más tarde";
            }
        }
    } else {
        foreach ($msg as $key => $values) {
            echo '  <div>'.$values.'</div>';
        }
    }
}

reset.php

<?php
session_start();
include "require.php";

if (isset($_GET['email']) && preg_match('/^([a-zA-Z0-9])+([a-zA-Z0-9\._-])*@([a-zA-Z0-9_-])+([a-zA-Z0-9\._-]+)+$/', $_GET['email'])) {
    $email = $_GET['email'];
}
if (isset($_GET['key']) && (strlen($_GET['key']) == 64)) {
    $key = $_GET['key'];
}

if (isset($email) && isset($key)) {
    //$email = $con->escape_string($_GET['email']);
    //$key = $con->escape_string($_GET['key']);
    $active_defaul = 1;

    $stmt = $con->prepare("SELECT * FROM users WHERE email=? AND email_code=? AND active=?");
    $stmt->bind_param("ssi",$email,$key,$active_defaul);
    $stmt->execute();
    $stmt->store_result();
    //if ($result->num_rows == 0 )
    if ($stmt->num_rows==0) {
    //if ($stmt->num_rows>0) {
        echo "¡Ingresó una URL inválida para restablecer la contraseña!";
    } else {
        echo '
        <!DOCTYPE html>
        <html>
        <head>
            <title></title>
        </head>
        <body>
            <form action="reset_password.php" method="post">
             <label>New Password</label>
                <input type="password" name="password" autocomplete="off"/>
            <label>Confirm New Password</label>
                <input type="password" name="password_again" autocomplete="off"/>
                <input type="hidden" name="email" value="'.$email.'">
                <input type="submit" name="form_reset" value="Guardar contraseña" />
            </form>
        </body>
        </html>';
    }

} else {
    echo "¡Acceso denegado!";
}
?>

reset_password.php

session_start();
include "require.php";

if (isset($_POST['form_reset'])) {
    $email = $_POST['email'];
    $password = $_POST['password'];

    $hash_password = password_hash($password, CRYPT_BLOWFISH);

    $stmt = $con->prepare("UPDATE users SET password= ? WHERE email=? OR username=?");
    $stmt->bind_param("sss", $hash_password,$email,$email);
    if($stmt->execute()){
        header("location: correcto.php");
    } else {
        header("location: error.php");
    }
}
5
  • 1
    Hola Karla. Puede haber montones de formas de hacer esto. Pero el codigo para restablecer nunca deberia ser el mismo que para validar el usuario, y tambien deberia ser descartable. En mi caso yo uso otra tabla distinta, y una vez ingresado ese link pierde validez ya que borro el codigo generado. Si el usuario necesita otro, se genera uno nuevo. Mas alla de eso, puede haber otros metodos para resolver esto.
    – gbianchi
    Commented el 29 ago. 2018 a las 4:42
  • Hola @gbianchi si, esa es mi idea, descartar ese código, que pierda su validez y a la vez que se borre, voy a buscar más información.
    – Karla
    Commented el 29 ago. 2018 a las 4:45
  • 2
    Como ha comentado @gbianchi, hay muchas formas de abordar este problema. Puedes implementar por ejemplo un sistema de tokens con una expiración determinada, OAuth, etc. Me parece que esta pregunta (que cuenta con excelentes respuestas) aborda el problema de una forma global, paso por paso. No es para desanimarte, pero debo decir que lo que buscas no es tan sencillo, conviene que elijas un modelo de solución y trabajes sobre él. Creo que la pregunta enlazada te ayudará a tomar esa decisión.
    – A. Cedano
    Commented el 29 ago. 2018 a las 5:06
  • Es interesante el planteamito, a mi lo que se me ocurre es que puedes usar criptografia para cifrar tus claves por medio de una llave publica que tendra cada usuario y decrifrarla con la llave privada, de esta forma podras solventar lo que planteas. ethicalhackneox.wordpress.com/2015/09/29/…
    – M. Gress
    Commented el 31 ago. 2018 a las 20:03
  • Como te comentan por arriba, yo lo que suelo hacer para resetear la contraseña es pedir usuario y email... si son iguales genero un uniqid() asociado al correo y al usuario y los inserto en una tabla que hay para esos casos. Una vez te llegue el enlace al mail y lo uses, le hago un borrado lógico del mismo.
    – j0se
    Commented el 4 sept. 2018 a las 10:38

3 respuestas 3

7

Respuestas

Para un atacante, sería fácil realizar varios intentos, por ejemplo de está forma reset.php?email=email&key=código. Y si llega a coincidir con los registros de la tabla users, el atacante puede cambiar la contraseña y acceder al sistema de acceso.

Es una probabilidad, pero teniendo en cuenta que estás generando aleatoriamente 32 bytes. En teoría tienes una probabilidad entre 4.294.967.296 de que acierten o, lo que sería lo mismo asumiendo una latencia de red de 2 ms y una única conexión simultánea, se podrían probar todas las combinaciones en unos 100 días.

Con limitar la validez del token en el tiempo es suficiente para mitigar los efectos de un ataque de fuerza bruta (ver consejos sobre limitación de intentos).

Es más yo puedo guardarme ese código que me llega para activar la cuenta, para restablecer la contraseña sin tener que ingresar el correo al formulario de restablecer password, simplemente por cambiar verify.php? por reset.php?

Es correcto. Hay muchas maneras de que se acceda de manera involuntaria a esa información:

  • Se filtra el log del servidor web (donde las URLs se guardan completas, con el ?...).
  • Estás en una red insegura donde esa petición HTTP puede ser capturada por un proxy transparente o un analizador de red (en este caso una solución sencilla sería por usar https).
  • Acceden a esa información desde un navegador o aplicación donde tengas la sesión del correo abierta (por ejemplo, el móvil) aunque la de tu web esté cerrada.
  • Etc.

En estos casos limitar la duración de la validez del token también ayuda.

Limitando la duración del token

Haciendo modificaciones mínimas al código, te recomendaría agregar al menos un campo expiracion a la tabla users de la siguiente manera:

ALTER TABLE users
  ADD ADD expiracion DATETIME NULL;

En ese campo se almacenaría la fecha en la que caduca el código de restablecimiento o de verificación de correo.

Ahora toca cambiar código SQL y PHP para darle seguridad al proceso:

register.php

/* Agregamos el usuario y registramos un periodo de 72 horas para validar la cuenta
    (podrá extender el tiempo solicitando restablecer la contraseña) */
$stmtA = $con->prepare("
  INSERT INTO users (
    username,
    email,
    password,
    first_name,
    email_code,
    active,
    expiracion
  ) VALUES (
    ?, ?, ?, ?, ?, ?, DATE_ADD(NOW(), INTERVAL 72 HOUR) 
  )
");

reset.php

/* Agregamos un campo "caducado" que controla la caducidad del token */
$stmt = $con->prepare("
  SELECT users.*, IF(expiracion > NOW(), 0, 1) caducado
  FROM users
  WHERE
    email=? AND email_code=? AND active=?
");
$stmt->bind_param(
  "ssi",
  $email,
  $key,
  $active_defaul
);
$stmt->execute();
/* Obtenemos el resultado y de él extraemos el primer registro */
$resultado = $stmt->get_result();
$datos = $resultado->fetch_assoc();
/* Si $datos vale false es porque no había ningún registro */
if ($datos === false) {
    echo "¡Ingresó una URL inválida para restablecer la contraseña!";
} else {
    /* Había un registro, veamos si está caducado */
    if ($datos['caducado'] == 1) {
      echo "El enlace caducó, debe restablecer contraseña de nuevo";
    } else {
      echo '
      <!DOCTYPE html>
      <html>
      <head>
          <title></title>
      </head>
      <body>
          <form action="reset_password.php" method="post">
           <label>New Password</label>
              <input type="password" name="password" autocomplete="off"/>
          <label>Confirm New Password</label>
              <input type="password" name="password_again" autocomplete="off"/>
              <input type="hidden" name="email" value="'.$email.'">
              <input type="submit" name="form_reset" value="Guardar contraseña" />
          </form>
      </body>
      </html>';
    }
}

Nota: IF(expiracion > NOW(), 0, 1) devuelve 1 (caducado) cuando expiracion vale NULL.

reset_password.php

/* Restablecemos a NULL el campo para que no pueda volverse a usar el mismo token */
$stmt = $con->prepare("
  UPDATE users
  SET password= ?, expiracion = NULL
  WHERE email=? OR username=?
");

Nota: en tu código parece que no estás teniendo en cuenta que alguien puede registrarse con un nombre de usuario que sea una dirección de correo electrónico de otro usuario. Eso podría abrir la puerta a que ese usuario modifique la contraseña del otro usuario.

Limitando el número de intentos fallidos

Para mitigar los efectos de un ataque de fuerza bruta (tanto al usuario y contraseña como al token) deberías mantener un registro de todos los intentos fallidos de acceso.

Esta solución aumenta la complejidad del código, requiere de, al menos, una tabla nueva con su mantenimiento (borrado de registros antiguos para no quedarte sin espacio en MySQL si sufres un ataque de fuerza bruta y guardas millones de intentos) y una gestión correcta de dónde debes comprobar que se han superado los límites y dónde agregar un nuevo intento fallido.

Aún así, la forma más sencilla de implementar esta solución es crear una tabla llamada, por ejemplo, intentos:

CREATE TABLE intentos (
  hora DATETIME,
  ip TEXT,
  KEY (hora)
);

Cada vez que se falle un acceso usuario/contraseña, email/token, etc se agrega un registro de la siguiente manera:

INSERT INTO intentos (hora, ip) VALUES (NOW(), ?)

Asignando al ? el valor de $_SERVER['REMOTE_ADDR'].

Ahora, y lo más importante de todo, ANTES DE CUALQUIER COMPROBACIÓN DE AUTENTICACIÓN compruebas el número de intentos fallidos que provienen de la IP de origen, impidiendo la comprobación si ha superado un umbral.

Para agregar mantenimiento automático del contenido de la tabla, previamente a dicha comprobación se puede hacer un borrado de registros antiguos haciendo uso de DATE_SUB():

DELETE FROM intentos WHERE hora < DATE_SUB(NOW, INTERVAL 30 SECOND)

Esta instrucción borrará todos los intentos registros con una antigüedad mayor de 30 segundos.

Este código de ejemplo se integra en tu aplicación:

<?php
/* ... */
if (isset($email) && isset($key)) {
    /* Aquí, antes de cualquier otra comprobación, miramos si se está haciendo
        un ataque de fuerza bruta limitando a 10 intentos cada 30 segundos */
    /* Borramos los registros más antiguos de 30 segundos */
    $stmt = $con->query('
      DELETE FROM intentos
      WHERE hora < DATE_SUB(NOW, INTERVAL 30 SECOND)
    ');
    /* Contamos el número de registros que provienen de nuestra IP */
    $stmt = $con->prepare('
      SELECT
        COUNT(*) total
      FROM intentos
      WHERE
        ip = ?
    ');
    $stmt->bind_param(
      's',
      $_SERVER['REMOTE_ADDR']
    );
    /* Obtenemos el número y comprobamos si superamos el límite */
    $resultado = $stmt->get_result();
    $datos = $resultado->fetch_assoc();
    /* Si tenemos más de 10 en los últimos 30 segundos rechazamos la comprobación */
    if ($datos['total'] > 10) {
        header('HTTP/1.0 429 Too Many Requests');
        die('Ha excedido el límite de intentos');
    }

/* Aquí vendría el resto de tu código (actualizado con caducidad) */
/* Agregamos un campo "caducado" que controla la caducidad del token */
$stmt = $con->prepare("
  SELECT users.*, IF(expiracion > NOW(), 0, 1) caducado
  FROM users
  WHERE
    email=? AND email_code=? AND active=?
");
/* ... */
/* Si $datos vale false es porque no había ningún registro */
if ($datos === false) {
    /* Agregamos el intento fallido a la tabla */
    $stmt = $con->prepare('
      INSERT INTO intentos (hora, ip)
      VALUES (NOW(), ?)
    ');
    $stmt->bind_param(
      's',
      $_SERVER['REMOTE_ADDR']
    );
    $stmt->execute();
    die("¡Ingresó una URL inválida para restablecer la contraseña!");
} else {
   /* Resto de tu código */
}

Limitando a 10 intentos cada 30 segundos aumentas el tiempo necesario para probar todas las combinaciones de la clave de 32 bytes (4.294.967.296) a más de 400 años.

5

Analizando el caso para empezar deberías crear una nueva tabla que almacene los siguientes datos:

  • email del usuario que desea restablecer la contraseña.
  • codigo temporal de restablecimiento.
  • fecha de validez del restablecimiento

.

CREATE TABLE password_resets (
    email varchar(100),
    code varchar(100),
    expire timestamp,
);

Necesitaras una sección en donde inserte la fila a la tabla password_resets, y para crear eso deberías validar si existe el email cuyo password deseas restablecer.

$stmt = $con->prepare("SELECT * FROM users WHERE email=?");
$stmt->bind_param("ssi",$email);
$stmt->execute();
$stmt->store_result();

if ($stmt->num_rows==0) {
    echo "¡La cuenta no es válida!";
} else {
    // insert para el restablecimiento
}

Ahora una vez que ingrese la URL con el código de restablecimiento deberás verificar:

  • si existe la cuenta con el codigo de restablecimiento.
  • si la fecha actual es menor o igual al la fecha almacenada en expire

Si cumple la condición debes eliminar el registro correspondiente y mostrar la sección de ingresar la nueva contraseña.

1
  • 2
    Yo también realizaría de esta forma la validación, mediante una tabla donde almacenas el código con un tiempo limitado como 24h o unos días si quieres. Cada vez que vaya un usuario a restaurar generas otra clave nueva y nunca tendrías ese problema que comentas.
    – Raupulus
    Commented el 4 sept. 2018 a las 13:56
0

Ese grave problema de seguridad se soluciona, asegurandote de que el usuario nunca accede mediante GET, es decir escribiendo la direccion con los parametros. Debes de utilizar el objeto session de PHP. Es decir coloca los datos de usuario en objeto session, la clave siempre encriptada te aconsejo SHA-256 o similar. Si alguien intenta acceder mediante GET, PHP bloquea al usuario.

<?php
  if($_POST){

  }else{
    echo "Acceso no permitido!";
    exit;
  }
?>
3
  • Tengo una duda respecto a tu comentario. Dices que sí accede por POST debe restringirse el acceso, y en el codigo que respondiste estas demostrando lo contrario. Commented el 6 sept. 2018 a las 17:40
  • Solucionado, me habia equivocado al escribir Commented el 6 sept. 2018 a las 17:41
  • Por un lado comentarte que no es buena idea hacer conversión de datos implícita. Es mejor un empty($_POST) o count($_POST) que una conversión de matriz a booleano (false sólo si tiene 0 elementos). Por otro lado, se puede enviar un formulario POST sin ningún elemento, por lo que la única forma de comprobar si se usó el método POST es comprobando el contenido de $_SERVER['REQUEST_METHOD']. Por último, indicarte que no es posible (o al menos 100% compatible con todos los clientes de email) enviar por POST un token de restablecimiento de contraseña desde un correo electrónico. Commented el 19 sept. 2018 a las 8:46

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.