8

Se me plantea una duda relativa a la seguridad en el escenario siguiente:

Tengo en el servidor una carpeta protegida por contraseña, indicando en el archivo .htaccessde la misma lo que sigue:

AuthType Basic
AuthName "restricted area"
AuthUserFile /mihome/miusuario/.htpasswd
require valid-user

Al acceder a cualquier archivo de esa carpeta desde el navegador, es solicitado un nombre de usuario y una contraseña, sin la cual no se puede abrir ningún archivo.

Ahora bien, en dicha carpeta tengo un archivo PHP que envía datos a una BD MySQL en el servidor. Desde el formulario se puede hacer CRUD, bueno... CRUD en español sería ILAB (Insertar, Leer, Actualizar, Borrar)... :) Se trata pues de algo delicado, pues el formulario tiene la capacidad de modificar los datos.

Otro dato es que las actualizaciones se hacen mediante POST, usando Ajax. O sea, que en realidad intervienen dos archivos PHP, el que presenta el formulario y el que envía los datos a la BD mediante Ajax.

Consideraba que tener la carpeta protegida por contraseña a través de .htaccess era suficiente, pero ahora me surge la duda:

¿Es realmente seguro tener ese solo nivel de protección o sería bueno establecer también seguridad a nivel de PHP?

¿Si se necesita protección a nivel de PHP, qué archivos habría que proteger, sólo el que hace el POST a través de Ajax, o ambos archivos?

¿No habría conflictos si hay que implementar la protección a ambos niveles?

Imagino una protección por niveles del siguiente modo:

  1. A nivel de .htaccess protegiendo la carpeta donde se encuentran los archivos, de forma que nadie pueda entrar sin la contraseña correcta. Por supuesto, dicha contraeña está encriptada
  2. A nivel de PHP, validando de alguna manera los POSTS enviados a la Base de datos.

Nota 1.:

La pregunta no es sobre cómo proteger una carpeta en .htaccess o en un formulario en PHP, sino sobre si el primer nivel de protección sería seguro y sobre qué archivos proteger en el caso de POST a través de Ajax.

Nota 2.:

Me refiero a hacerlo directamente en PHP/.htaccess, sin tener que recurrir a frameworks de terceros. Son archivos PHP alojados en un hosting compartido, a los que se podrá acceder mediante el navegador, previa autentificación.

Nota 3.:

En la situación que expongo no es posible el uso de https porque el dominio no cuenta con esa posibilidad. Aunque se podría considerar si no queda otra opción, o si las opciones de protección mencionadas más arriba siguen siendo excesivamente vulnerables.

Nota 4.:

Finalmente pasé a https://, estoy en hosting compartido y no sabía que mi hosting me ofrecía un certificado para https de forma gratuita. Lo he instalado y funciona. La protección está solamente a nivel de .htaccess, no he implementando protección a nivel de PHP por el momento.

7 respuestas 7

5

La respuesta corta es "NO CONFIES EN HTTP AUTH; NO ES SEGURO".

La respuesta larga es: HTTP AUTH es muy fácil de romper y no deberías confiar en ese método. Adicionalmente HTTP transporta las credenciales en texto plano y cualquiera podría verlas con un sniffer en la red. Mi recomendación es pasarle la seguridad a PHP y que éste determine si tiene o no acceso a el archivo.

Considera lo siguiente, un script llamado descarga.php contiene entre otras cosas las siguientes funciones:

<?php
session_start();

function descargar_archivo($archivo) {
   $ruta_completa = "/mis/archivos/varios/" . $archivo;
   header("Content-length:" . filesize($ruta_completa));
   $mimetype = "application/x-zip-compressed";
   header("Content-Type: " . $mimetype);
   header('Content-Type: application/octet-stream');
   header('Content-Disposition: attachment; filename="' . $archivo . '"');
   header('Content-Transfer-Encoding: binary');
   return readfile_chunked($ruta_completa);
}

function readfile_chunked($filename, $retbytes = TRUE) {
    $chunk_size = 1024 * 1024;
    $buffer = "";
    $cnt = 0;
    $handle = fopen($filename, "rb");
    while (!feof($handle)) {
        $buffer = fread($handle, $chunk_size);
        echo $buffer;
        flush();
        if ($retbytes) {
            $cnt += strlen($buffer);
        }
    }
    $status = fclose($handle);
    if ($retbytes && $status) {
        return $cnt;
    }
    return $status;
}

Podemos entonces agregar las siguientes líneas:

if (isset($_SESSION['id'])) {
  $archivo = filter_input(INPUT_GET, 'fileid', 513);
  descargar_archivo($archivo);
  exit();
}

El resultado es un script PHP que descarga un archivo llamado descarga.zip cuando se hace un GET al scritp http://www.misitio.com/descarga.php?fileid=descarga.zip siempre y cuando el usuario tenga la variable id en su sesión de PHP. Esto sugiere que el usuario tuvo que iniciar sesión en alguna página anteriormente para tener acceso al archivo.

Con la seguridad en dominio de PHP tienes opciones tanto para los archivos descargables como para el script que responde al POST, aquí un par de ejemplos que se pueden implementar:

  • Control de acceso por IP's / geolocalización.
  • Control de concurrencia de sesiones.
  • Control de secuencia de operaciones / peticiones HTTP.
  • Regersar un status específico (como HTTP 418) e implementar fail2ban para bloquear las IP's relacionadas directo en el firewall.

También debes considerar que los archivos pueden estar en cualquier directorio dentro de tu servidor que no sea público, es decir, pueden vivir en /home/usuario/archivos de la misma forma en que pueden vivir en /var/archivos/varios. Esto reduce la superficie de ataque y esconde el contenido de la carpeta.

Puedes usar este ejemplo para servir JPG's, CSS, JS, etc. no hay límites. De la misma forma puedes usar este ejemplo para agregar cualquier cantidad de validaciones.

Recuerda que siempre puedes trabajar con certificados autofirmados sin problema alguno, no es necesario comprarle un certificado a un proveedor para cifrar tus conexiones. Una vez implementado el protocolo SSL, puedes requerir y validar el certificado cliente a nivel servidor web y/o a nivel PHP lo que protegerá tus credenciales de acceso y el mal uso / uso no autorizado de tu servidor web.

1
  • 1
    +1 - no solo se da una respuesta, sino también muestra ejemplo del porque? y como hacer.
    – fwBasic
    Commented el 23 may. 2017 a las 21:27
3
+100

Desde mi punto de vista.

1º Base de datos:

  • Crear un usuario específico para el CRUD que solo dispona de los permisos necesarios y ninguno más, select, insert, update y delete por ejemplo, solo a nivel de datos, nada de estructuras o administración de la bd.

2º PHP:

  • Implementar un sistema de usuarios y privilegios o roles exclusivo.
  • Limitar el numero de sesiones por usuario, es decir que no pueada estar logeado mas de una vez.
  • Cerrar sesiones por inactividad.
  • Obligar contraseñas fuertes.
  • Renovar contraseñas de forma periódica.
  • Utilizar CAPTCHA o algun otro sistema que evite ataques de fuerza bruta.
  • Limitar el numero de consultas que un usuario puede hacer cada x tiempo, por ejemplo, 2 select cada segundo, insert 1 cada segundo, delete y update 1 cada 5 segundos.
  • Proteger los formularios contra ataques XSRF y XSS.
  • Validar los datos.
  • Utilizar sentencias preparadas.
  • Encriptar la información.

3º Servidor:

  • Evitar listar directorios.
  • Ubicar archivos de configuraciones y similares fuera del directorio público.
  • Crear lista blanca de IP´s que podrán acceder.
  • Reescribir URL´s ocultando extensiones y directorios.
  • Forzar HTTPS con SHA-2.

4º Otros:

  • Generar un log o bitácora de los eventos del sistema.
  • Generar copias de seguridad con suficiente frecuencia.

Creo que con estos tips básicos podría ser suicente para muchos sistemas, sin sacrificar gravemente la usabilidad. Por otro lado ningun sistema es 100% seguro.

2
  • -1 - mas que una respuesta parece un Copy & Paste.
    – fwBasic
    Commented el 23 may. 2017 a las 21:25
  • 1
    Pues ya me dirás tu de donde.
    – Xerif
    Commented el 24 may. 2017 a las 12:42
2

Bueno, aunque considero que no hay una respuesta definitiva a esto, teniendo en cuenta que la seguridad nunca es total ni garantizada, y aún si me expongo a recibir votos negativos, daré mis dos centavos al respecto.

Considero que todo depende del nivel de paranoia que se desee aplicar a la seguridad. Hay personas que prefieren sacrificar desempeño, experiencia de usuario y muchas otras cosas con tal de tener lo que consideran una seguridad adecuada.

Voy a intentar responder las tres preguntas que hay en tu post, basado más en mi experiencia (no soy un experto en seguridad):

  1. Si partimos del hecho que no puedes confiar en ningún usuario, entonces NO es suficientemente seguro utilizar solo autenticación HTTP básica, ni siquiera HTTPS resolvería del todo el problema, puedes ver esta respuesta en security.SE: https://security.stackexchange.com/questions/988/is-basic-auth-secure-if-done-over-https/990#990

    En ese orden de ideas, , es una muy buena idea que también protejas el formulario y el script que recibe los datos a nivel de código (PHP).

  2. Aunque ya respondí en el punto anterior, pero debes proteger ambos, de hecho yo protegería más el archivo/script que recibe los datos, finalmente es este el que "juega" más con la base de datos y es un blanco más interesante y común para cualquier ataque. Recuerda no confiar en cookies y hay quienes dicen que incluso tampoco en sesiones.

  3. No veo porque podría haber conflictos, eso ya depende más de como implementes las distintas "capas" de seguridad. Retomando lo que dije en la introducción, esos conflictos y tener una experiencia de usuario (usabilidad, facilidad y hasta accesibilidad) no tan agradable, entre otros inconvenientes potenciales, son consecuencia de la seguridad.

Pequeña conclusión (asumo que ya la sabes, pero puede guiar a otros visitantes): Es imposible tener un sitio / sistema 100% seguro, y generalmente no podrás tener un sitio relativamente seguro y que ofrezca una buena experiencia de usuario. (A menos que inviertas muchos miles o varios millones de dólares para lograrlo).

1
  • 1
    Sería bueno que la persona que puso el voto negativo indique sus motivos, no solo para mejorar la calidad de la respuesta, sino para dar ejemplo a los demás miembros.
    – Shaz
    Commented el 8 may. 2017 a las 20:19
2

Aplicando la directiva de seguridad al directorio estás restringiendo el número de usuarios que van a poder acceder a los diferentes ficheros, de modo que yo en tu lugar no me preocuparía por los accesos siempre y cuando tengas confianza en la gente que tiene los accesos y siempre y cuando fruto de la interacción con estos ficheros no puedan suceder consultas inesperadas a la bdd.

Los usuarios que puedan acceder serán capaces de decirle al servidor que ejecute esos ficheros con aquellos parámetros que ellos (los propios usuarios) envien.

No te puedo responder sobre si "es suficiente". Lo que puedo es ponerte un caso práctico para que entiendas un caso de ejemplo donde, un usuario que inicialmente tiene acceso a los ficheros, acaba ejecutando una consulta donde borra datos que no tienen que ver con aquellos que se le ofrecen en el formulario.

El formulario de PHP puede ofrecer ciertas "opciones" al usuario para borrar, no obstante tienes que ser consciente de que un usuario avanzado que conozca la contraseña y tenga acceso al directorio puede lanzar consultas a la bdd que inicialmente no han sido previstas. Esto lo podría hacer usando curl por ejemplo o postman. Esto puede suceder si el fichero de PHP que se comunica con la BDD hace una transformación "plana" de la petición AJAX en una consulta válida, entonces un usuario avanzado podría "no usar" el formulario y tirar consultas que crea convenientes enviandole los datos pertinentes al fichero que hace la conexión con MySQL.

No puedo ver el código de ese fichero y tampoco conozco los pormenores de la implementación... Entiendo que esas operaciones sólo se hacen sobre un sólo recurso (o entidad / tabla) de modo que asumo que tienes controlado que el fichero de PHP que se conecta con la BDD no puede montar una consulta que afecte a tablas (u otros elementos de la bdd) inicialmente no previstos.

Por ejemplo:

Formulario.php ---http---> BDD.php ---socket---> MySQL

tu esperas que el usuario se comunique con la bdd desde el formulario, interactuando con él. Yo implementaría una capa de seguridad en el archivo BDD.php para evitar que algún listillo pueda "saltarse" el formulario y lanzar peticiones http directamente haciéndose pasar por él.

2
  • 1
    Gracias. El formulario hasta ahora lo usaba solamente yo, por eso me bastaba tenerlo en una carpeta protegida por contraseña encriptada y así lo he usado durante años sin problemas. Pero ahora requiero la colaboración de otras personas que me ayudarán a introducir, revisar, depurar datos (CRUD). Entonces me surgió la duda sobre si era conveniente otro nivel de protección. Con el código en sí no creo que haya problema, se usan consultas preparadas, se controlan los niveles de usuario para que no todo el mundo pueda entrar a la parte Delete o Update del CRUD, etc.
    – A. Cedano
    Commented el 3 may. 2017 a las 15:16
  • En ese caso no veo por qué implementar mas capas de seguridad
    – k1r0s
    Commented el 3 may. 2017 a las 16:05
2

Dado que las solicitudes AJAX pasan primero por el servidor web, éste no dará acceso a la URL que estás llamando mediante AJAX, a menos que le incluyas las cabeceras correspondientes.

xhr.setRequestHeader("Authentication", "usuario:password en base64")

Recuerda convertir a base64 la cadena usuario:password antes de hacer la llamada XHR.

Por otra parte, esto es fácilmente sniffeado, ya que el algoritmo base64 se puede decodificar en cualquier equipo que tenga la cadena codificada, así que yo añadiría diferentes elementos de seguridad como autenticación a nivel de PHP teniendo una BD de usuarios permitidos cuya contraseña este encriptada con bcrypt, así como toda la seguridad que brinda https.

3
  • Gracias. Por ahora no es posible https, aunque se podría considerar. Ver nota 3 de la pregunta.
    – A. Cedano
    Commented el 2 may. 2017 a las 15:00
  • En este caso yo me remitiria a usar una autenticacion via DB que sea segura, aun asi enviar contraseñas en formularios que no sean https no es una buena práctica y desde la ultima versión de Chrome aparece el mensaje 'No es seguro' en la barra de direcciones si tu sitio web contiene formularios con contraseñas y no es https. Commented el 2 may. 2017 a las 15:05
  • Aquel que haya dado -1 se agradeceria un por que. Commented el 9 may. 2017 a las 6:32
1

Yo le añadiría algo que me de más información y me permita banear ips con una serie de intentos fallidos. A veces ponemos un usuario y contraseña como los que tu tienes y nos despreocupamos, pero no sabemos que esta pasando.

1
  • Seguro puede ser seguro , ahora tambien puede ser incompleto o insuficiente. Yo implementará el acceso mediante php, principalmente puedes recabar más datos pero también puedes implementar contraseñas por usuario o bloquear por intentos fallidos entre otras cosas, es decir php te permite mayor flexibilidad que el .htaccess en ese aspecto.
    – Xerif
    Commented el 25 abr. 2017 a las 9:56
1

Buenas, yo ahora estoy trabajando con django y creo que tiene una buena aportación a la seguridad de los formularios incluyendo siempre un campo oculto que usa para verificar la autenticidad de los datos enviados, puedes mejorar la seguridad implantando algo en esa línea.

Algún link sobre esto

Explicado como lo usa django en español

Espero que sea de ayuda

2
  • Gracias, pero necesito hacerlo sin pasar por frameworks de terceros. He añadido una nota 2 a la pregunta.
    – A. Cedano
    Commented el 2 may. 2017 a las 14:42
  • Claro, no planteo que utilices un framework, sindo que cojas la idea de como lo soluciona django. En realidad lo que plantea es tan sencillo como introducir un campo hidden en el formulario con un valor secreto que verifiques al recibir, con lo que te aseguras un mayor control de lo que viaja en el formualario Commented el 2 may. 2017 a las 15:08

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.