0

En mi proyecto, si el usuario ha olvidado su contraseña, les fuerzo a escribir su usuario y usando Javascript y windows.location abro una nueva pagina web con una peticion tipo GET y mando su usuario como variable. En esta pagina, una vez respondida la pregunta de seguridad, pueden cambiar su contraseña.

Despues de una revision, me di cuenta que esta accion abre una brecha grande de seguridad, porque cualquiera puede requerir esta misma pagina web y mandar un usuario valido, y si es que sabe la respuesta a la pregunta de seguridad, cambiar la contraseña del usuario.

Pense en mandar una especie de "token" de seguridad, que solo yo sepa, pero no puedo pensar en algo que sea unico e irrepetible, aparte por supuesto de la fecha u hora.

Si escribo algo en el HMTL, aun cuando sea de tipo hidden, al revisar la el codigo fuente se puede ver, y la fecha u hora serian muy predecibles, aun cuando los modificara de alguna forma, ya que se puede acceder al codigo fuente en JS.

Podria ser que no este pensando muy bien en la solucion y exista otra forma de hacerlo. Con todos estos detalles, ¿existe alguna variable que sea unica e irrepetible que pueda generar con Javascript y descifrar con PHP?

4
  • En teoría el enlace para recuperar contraseña debe estar disponible para todos los usuarios sin distinción. Es mejor emplear segundo factor de autenticación para cuestiones de seguridad.
    – Dev. Joel
    Commented el 15 jun. 2017 a las 19:18
  • Lo que preguntas es muy amplio. Para empezar, el usuario puede cambiar la fecha/hora del equipo en cualquier momento. Puedes implementar un sistema con una DB auxiliar con tokens únicos con fecha de caducidad, mediante el paso de 2 variables. O usar mecanismos alternativos, como la verificación en 2 pasos.
    – user23371
    Commented el 15 jun. 2017 a las 19:19
  • Gracias por sus comentarios. Estoy consciente que la verificacion de dos pasos puede ser una alternativa a lo que busco. Tambien, estaba preguntando esto, ya que en el caso que @Juanjo menciona, si alguien cambiara la fecha/hora en el lado del cliente, en el lado del servidor lo sabría ya que no pueden acceder alli, y al hacer la comparacion sabría que es un intento con malas intenciones. Es por eso que busco esa idea o ese conocimiento que me pueda llevar a generar alguna variable del lado del cliente que tambien pueda entender el lado del servidor y que el usuario no pueda replicar. Commented el 15 jun. 2017 a las 20:17
  • Lo que no termino de entender, es por qué quieres JavaScript en este tipo de cosas. Esto se debería solucionar completamente desde el lado del servidor, incluir cualquier tipo de cálculo/generar algo en parte de cliente es abrir la caja de Pandora
    – Alvaro Montoro
    Commented el 16 jun. 2017 a las 4:38

1 respuesta 1

1

Has intentado usar UUID o GUID para hacer este tipo de trabajos? Te paso una función.

function guid() {
  function s4() {
    return Math.floor((1 + Math.random()) * 0x10000)
      .toString(16)
      .substring(1);
  }
  return s4() + s4() + '-' + s4() + '-' + s4() + '-' +
    s4() + '-' + s4() + s4() + s4();
}

La ejecutas corriendo:

guid()

Arrojará valores random como este:

e88be4e8a66c-e8cf85-e8da6e-e897ef-e88980e85e1ee82b90

Imaginitate generar un UUID para cada usuario en una tabla independiente de tu base de datos, con Javascript ubicas esa variable como un identificador para ese usuario en alguna parte del DOM o donde necesites, luego la envías e intentas matchear este UUID con la que existe en la base de datos, esta va a ser una variable única y muy difícil de descrubrir para cualquier persona.

Algunas apps envian un email donde se usan ese tipo de UUIDS pero como bien mencionaron en los comentarios, pueden ser temporales si lo deseas, esto aumenta mucho más la seguridad de tu aplicación a diferencia de como está en la actualidad.

Espero que esta idea sea de ayuda.

6
  • Hugo gracias por tu respuesta, es muy interesante. Talvez no termino de entender esto, porque apenas empiezo en el mundo de la programacion web, pero, ¿como puedo estar seguro que el UUID que genero en Javascript sera igual al que este en la base de datos? Commented el 16 jun. 2017 a las 14:15
  • @Kenny. Los guid deberán estar en la db preparar eso cuando se crea el usuario. Luego usarias ese guid para autentificar luego. Espero que te sirva
    – Hugo Lesta
    Commented el 16 jun. 2017 a las 16:12
  • Creo que ahora entiendo mucho mejor. Gracias. Commented el 16 jun. 2017 a las 16:45
  • Kenny si mi respuesta fue de ayuda, te agradecería una simple puntuación y si fue una solucion, marcalo como solucionado. Saludos y mucha suerte.
    – Hugo Lesta
    Commented el 16 jun. 2017 a las 17:46
  • Claro Hugo, lo he marcado como solucion hace ya mas de una hora. Espero que te hayan dado tu reputacion. Saludos! Commented el 16 jun. 2017 a las 17:48

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.