Usando HTTP POST para formularios de inicio de sesión

Question

Regularmente uso un formulario estándar para enviar información de inicio de sesión a través del método HTTP POST y luego validarlo usando php para verificar si los detalles son correctos. Utilizo un hash md5 en las contraseñas (y en ocasiones los nombres de usuario) para proporcionar cierto grado de seguridad, así que no estoy almacenando una contraseña sin procesar en mi código en caso de que sea vista por una persona no autorizada o algo así.

Estoy bastante seguro de que acabo de hacer que alguien, incluso con una comprensión vaga de gemido de seguridad o al menos suspiro con exasperación.

Recientemente he estado trabajando en un foro que tiene una base de datos MySQL de usuarios y contraseñas, las contraseñas se almacenan como hash md5, pero me preocupa que al enviar el formulario de inicio de sesión mediante HTTP POST la posibilidad de que la información sea interceptada esta ahí. Soy consciente de las posibilidades de los ataques de inyección de MySQL y creo que estoy a salvo de cualquier ataque simple.

No soy un experto en seguridad cuando se trata de este tipo de cosas, pero me gustaría limitar las posibilidades de interceptar las contraseñas cuando se envían a través de HTTP.

No es un sitio grande, así que no estoy demasiado preocupado por los ataques y HTTPS no es realmente una posibilidad, entonces estoy buscando consejos sobre prácticas estándar que debería seguir al usar este método de envío de información de inicio de sesión.

Saludos

Answer 1

Usted tendría que hacer un hash del lado del cliente de la contraseña basado en una sal desafío proporcionado por el servidor. Este desafío debe ser diferente para cada solicitud.

De esta manera, incluso si se intercepta el hash de la contraseña, no sería útil para nada útil, ya que la siguiente autenticación requeriría un hash diferente.

De todos modos, HTTPS debe ser la manera correcta y segura.

Answer 2

Una sugerencia básica sería: no confíes en nadie.

Por lo tanto, pruebe sus datos POSTed para la inyección de SQL, para Javascript en los campos de texto y evite las contraseñas simples almacenadas en su base de datos.

Answer 3

Debe implementar HTTPS para todo tipo de inicios de sesión, hash o no.

Si la contraseña es hash pero se transmite por HTTP, cualquiera podría robar el hash y POST él mismo. Su solución no ofrece seguridad real más que oscurecer la contraseña real.

Siempre puede usar un certificado autofirmado si la implementación de HTTPS y las autoridades de certificación son un problema para usted.