Autenticação
-
-
@@ -85,12 +91,16 @@
-
-
- É o ato de estabelecer ou confirmar algo (ou alguém) como autêntico (...) -- Fonte: Wikipedia +
+
+
+ + É o ato de estabelecer ou confirmar algo (ou alguém) como autêntico (...) ++ Fonte: Wikipedia +
+ 
+
+ “O que você sabe”
“O que você tem”
Autenticação baseada na propriedade
-
- Exemplos:
-
@@ -106,16 +116,21 @@
-
-
-
- Um token ou cartão físico -
- Um código enviado por SMS ou aplicativo -
Exemplos:
+
+
+ 
+ Token ou cartão físico +
+ + Token ou cartão físico +
+ 
+ Código via aplicativo +
+ Código via aplicativo +
“O que você é”
Autorização
-
-
+
-
+
-
-
- É garantir que apenas usuários autorizados consumam os recursos protegidos de um sistema computacional -- Fonte: Wikipedia +
+
+
+ Autorização
++ É garantir que apenas usuários autorizados consumam os recursos protegidos de um sistema computacional ++ Fonte: Wikipedia +
+ 
+
+ Autorização
Após saber quem é o cliente no processo de Autenticação, preciso agora entender o que ele pode fazer. Quais recursos ele pode consumir? Por quanto tempo?
@@ -140,7 +155,7 @@
- 
+
Referência: Shotgun Debugging
@@ -233,22 +248,49 @@
-
+
+
+
+
@@ -385,27 +427,80 @@
Famosa tela de Autorização via OAuth 2
+
Como deixar os tokens seguros?
Como deixar os tokens seguros?
+- Apenas trafegue tokens no cabeçalho ou corpo da requisição, nunca na URL
- Não exiba informações do token em seus logs
Referências
+Exemplo de implementação
+use Lcobucci\JWT\Builder;
+
+$time = time();
+$token = (new Builder())
+ ->issuedBy('http://example.com') // Configures the issuer (iss claim)
+ ->permittedFor('http://example.org') // Configures the audience (aud claim)
+ ->identifiedBy('4f1g23a12aa', true) // Configures the id (jti claim), replicating as a header item
+ ->issuedAt($time) // Configures the time that the token was issue (iat claim)
+ ->canOnlyBeUsedAfter($time + 60) // Configures the time that the token can be used (nbf claim)
+ ->expiresAt($time + 3600) // Configures the expiration time of the token (exp claim)
+ ->withClaim('uid', 1) // Configures a new claim, called "uid"
+ ->getToken(); // Retrieves the generated tokenBibliotecas
-
-
- JSON Web Token, implementação mais conhecida -
- PASETO, implementação com design mais seguro
-
- No PHP:
+ JSON Web Tokens: implementação mais conhecida de tokens
-
-
- Meu slides sobre Criptografia -
- Meu slides sobre a libsodium, biblioteca moderna de criptografia +
- lcobucci/jwt +
- firebase/php-jwt
+ -
+ PASETO: implementação com design "mais seguro" por padrão
+
-
+
- paragonie/paseto +
+
Referências
+-
+
- Meu slides sobre a libsodium, biblioteca moderna de criptografia +
- Symfony Guard
O que é um ID sequencial e por que escondê-lo?
Cuidado com espionagem industrial! 
Como resolver?
--
+
-
Crie um segundo campo na tabela com um valor único para aquele registro
- Esse valor pode ser um GUID, um hash do ID incremental ou um valor aleatório...
- - Então, transforme o recurso
/user/IdIncrementalem/user/Identificador
+ - Então, transforme o recurso
/user/<IdIncremental>em/user/<Identificador> - GUID Em PHP -
- UUID Em NodeJS -
- UUID Em Python -
- UUID Em Java +
-
+ Funções para gerar valores aleatórios:
+
-
+
-
+ random_bytes() para PHP 7
+
-
+
- Para PHP 5, use o polyfill paragonie/random_compat +
+
+ -
+ random_bytes() para PHP 7
+
-
+ Funções para gerar hash:
+
-
+
- hash_hmac() +
+ - + Artigo no blog da Paragon + +
-
+ Para gerar valores aleatórios:
+
-
+
- rand() +
- mt_rand() +
- uniqid() +
+ -
+ Para gerar hash:
+
-
+
- sha1() +
- md5() +
- + Artigo no blog da Paragon + +
Versão Standard
Como resolver?
+ Versão Standard
Como resolver?
Referências
-
-
Versão Standard
Como não resolver?
+ Funções que não devem ser utilizadas:
+-
+
Versão Hardcore
Como resolver?
+
+
+
+ + Utilizando a biblioteca paragonie/ciphersweet, que deriva uma chave para cada coluna a partir de uma chave-mestra +
++
Referência
+-
+