[php] Token i bezpieczeństwo. Opcje

[puz219]

Witam.

Napisałem sobie skrypt tokena, tylko nie wiem, czy moje rozwiązanie jest bezpieczne oraz jak trudne będzie odczytanie takiego tokena przez bota.

Skrypt składa się z 3 plików:

funkcje.php

[PHP] pobierz, plaintext 
<?php
function FormRejestracja($tokencode, $komentarz="") {
     $_SESSION["token"] = $tokencode;
     ?>
         <form method="POST" name="rejestracja" action="formularz.php">
             <? echo $komentarz; ?>
             <fieldset>
                 <legend>Login</legend>
                 <input type="text" id="login" name="login">
    
             </fieldset>
             <fieldset>
                 <legend>Hasło</legend>
                 <input type="password" id="pass" name="pass">
             </fieldset>
             <fieldset>
                 <legend>Powtórz hasło</legend>
                 <input type="password" id="pass" name="pass2">
             </fieldset>
             <fieldset>
                 <legend>E-mail</legend>
                 <input type="text" id="email" name="email">
             </fieldset>
             <fieldset>
                 <legend>Token</legend>
                 <? //include_once("user_token.php");                 
                 echo '<img src="token_pic.php">';?>
                 <input type="text" id="token" name="token">
             </fieldset>
             <input type="hidden" name="los" value="<? echo $chars; ?>">
             <p><input type="submit" id="sudmit" name="send_reg" value="Rejestruj"></p>
         </form>
     <?}
 
function createToken() {
$char = array(1,2,3,4,5,6,7,8,9,'q','w','e','r','t','y','u','i',
'o','p','l','k','j','h','g','f','d','s','a','z','x','c','v','b','n','m','Q'
,'W','E','R','T','Y','U','I','O','P','L','K','J','H','G','F','D','S',
'A','Z','X','C','V','B','N','M');
     $text = "";
     for($i = 0; $i < 7; $i++)
     {
         $text .= $char[array_rand($char)];
     }
 
return $text;
}
[PHP] pobierz, plaintext 

formularz.php

[PHP] pobierz, plaintext 
<?php
session_start();
include_once(funkcje.php);
 
$token = createToken();
 
if(isset($_POST["send_reg"]))
     {
        if($_POST['token'] == $_SESSION['token'])
        {
           $_SESSION["kom_r"] = "Token poprawny";
           
           echo $_SESSION["kom_r"];
        }
        else
        {
           FormRejestracja($token, "Token niepoprawny");
        }
     }else { 
     
     FormRejestracja($token); }
?>
[PHP] pobierz, plaintext 

token_pic.php

[PHP] pobierz, plaintext 
<?php
session_start();
header ('Content-type: image/gif');
 
$text = $_SESSION["token"];
 
/* generowanie tokena za pomocą biblioteki GD */
/* jeżeli ktoś chce kod, to proszę pisać, a tutaj nie wklejam, 
bo jest dość długi, a i tak nic nie wnosi do kwestii bezpieczeństwa (no chyba, że się mylę) */
 
imagegif($image);
imagedestroy ($Image);
?>
[PHP] pobierz, plaintext 

Prosiłbym o sprawdzenie napisanych skryptów pod katem bezpieczeństwa oraz opinię, czy takie "coś" będzie trudne do złamania dla bota?

Pozdrawiam

Ten post edytował puz219 16.02.2009, 13:50:12

[ddiceman]

To bedzie banalnie latwe do zlamania przez bota. Dlaczego? Bo jezeli bot nie przechowuje ciasteczek (w tym SESSION_ID) to znaczy, ze nie nie beda dla niego dostepne zmienne sesyjne. W zwiazku z czym wystarczy, ze przesle puste $_POST['token'], to wtedy porownane do pustego (bo nie zainicjowanego) $_SESSION['token'] da zawsze true.
Zrob chociaz

[PHP] pobierz, plaintext 
<?php
if(!empty($_SESSION['token']) && $_POST['token'] === $_SESSION['token'])
?>
[PHP] pobierz, plaintext 

[puz219]

Czyli sprawdzenie czy zmienna sesyjna $_SESSION['token'] nie jest pusta to jedyna rzecz, którą mogę zrobić, żeby zabezpieczyć ten formularz czy może nie. Przepraszam za takie może trochę idiotyczne pytanie, ale w jaki sposób maksymalnie zabezpieczyć tego tokena.

Może mój sposób rozumowania jest błędny i token powinien być zrobiony całkowicie w inny sposób, bo jak widać kiepsko u mnie z kwestiami bezpieczeństwa , a tego tokena chciałbym maksymalnie zabezpieczyć, co jest chyba zrozumiałe.

Pozdrawiam

[ddiceman]

Zakladajac, ze nikt Ci sie nie wlamie na serwer, nie masz nigdzie var_dump($_SESSION); i nie zakladasz, ze bot odczyta kod z obrazka (co nie jest specjalnie trudne, jesli ktos sie uprze), to na tym poziomie - tak, jest to wystarczajace