Login sicuro al 100%, Come?

[Vicar]

Ciao ragazzi,

programmo in php e sviluppo siti web dinamici da molto tempo e vorrei sentire un pò i vostri pareri per quando riguarda la fase di login, il metodo piu sicuro...

Cosa salvi nel database, cosa salvi nelle sessioni ecc..?
Non voglio sapere il codice bensì la logica utilizzata.

Grazie e arrivederci

 

[borgo italia]

ciao
premetto che non esiste un metodo sicuro al 100x100, entrano nel db del pentagono
comunque se si tratta di login immagino che tu abbia (l'utente abbia) una password e un username che (oltre ai dati che ti servono: nome, email...) registrerai in una tabella (es. tabella 'utenti').
a parte come detto altri dati come minimo dovrai avere una tabella con 3 campi 'id' (che diventerà l'id dell'utente), 'pass' e 'user'.
importante, in funzione della sicurezza che vuoi avere, salvare la pass criptata e per farlo puoi usare le funzioni md5() o meglio sha1() poi per cosa passare in sessione dipende dall'uso che vuoi fare della sessione in seguito
es. se l'utente deve accedere ad una sua pagina io metteri in sessione il suo id, cio mettiamo che debba visionare e/o modificare e/o eliminare un suo annuncio farai una select con WHERE id_user_annuncio=$_SESSION['id_utente']...
comunque, riassumendo cosa passare in sessione, dipende da cosa ti servirà nella pagine riservate (cosa che devi/dovresti sapere prima) una volta che l'utente è loggato

spero di essere stato chiaro

 

[Vicar]

Molto chiaro, ma le sessioni possono essere modificate dall'utente in qualche modo o no?

 

[borgo italia]

ciao
le sessioni, al contrario dei cookie che sono lato client, sono lato server, quindi (in teoria) non modificabili

 

[alessandro1997]

Un'altra tecnica interessante è usare dei salt per le password. In questo modo anche se un malintenzionato dovesse riuscire ad entrare nel tuo database non potrà decriptare le password usando un dizionario. Comunque, se vuoi creare un buon sistema di login, puoi dare un'occhiata al componente Security del Web framework Symfony. Trovi i sorgenti qui.

 

[Eliox]

L'unico login sicuro al 100% è quello che non esiste, purtroppo le cose stanno così, anche perché la sicurezza non dipende solo dalla qualità dell'applicazione PHP, ma anche dell'ambiente server in cui è in produzione.

 

[Vicar]

Si, in effetti volevo scrivere al 99%, c'è sempre una possibilità per bypassarlo, diciamo per renderlo più sicuro di quello attuale. grazie a tutti comunque!