Autenticação e autorização

Autenticação

É o ato de estabelecer ou confirmar algo (ou alguém) como autêntico (...)

Fonte: Wikipedia

Autenticação

“O que você sabe”

Autenticação baseada no conhecimento

“O que você tem”

Autenticação baseada na propriedade

Token ou cartão físico

Código via aplicativo

“O que você é”

Autenticação baseada na característica

Autorização

Como efetuar autenticação e autorização?

Famosa tela de Autorização via OAuth 2

Utilizando o Grant de Authorization Code
(saiba como escolher o Grant Type certo nesse link)

Referências

• OpenID
• Auth0
• OAuth 2.0
• Para PHP
  • The PHP League: OAuth 2.0 Server
  • Meu slides sobre OAuth2
• Para Node.JS
  • oauthjs/node-oauth2-server
  • t1msh/node-oauth20-provider
• Mais bibliotecas no oauth.net

Melhores práticas com access tokens

O que é um access token?

E no mundo de APIs?

E no mundo de APIs?

E no mundo de APIs?

E no mundo de APIs?

Como deixar os tokens seguros?

• Utilizando algoritmos de criptografia seguros e com assinatura;
  • AES-256-GCM, ChaCha20+Poly1305, Ed25519 entre outros
• Tendo cuidado com implementações de bibliotecas com falhas de segurança;
  • Exemplo: JWT com alg=none

Como deixar os tokens seguros?

• Não faça commit de chaves e outros segredos, nem deixe-os hardcoded na aplicação
• Não guarde informações muito sensíveis (como senhas e outras credenciais)
• Se precisar armazenar do lado do cliente, utilize cookies seguros (flags httpOnly e secure) ao invés do LocalStorage

Como deixar os tokens seguros?

• Apenas trafegue tokens no cabeçalho ou corpo da requisição, nunca na URL
• Não exiba informações do token em seus logs

Exemplo de implementação

use Lcobucci\JWT\Builder;

$time = time();
$token = (new Builder())
    ->issuedBy('http://example.com') // Configures the issuer (iss claim)
    ->permittedFor('http://example.org') // Configures the audience (aud claim)
    ->identifiedBy('4f1g23a12aa', true) // Configures the id (jti claim), replicating as a header item
    ->issuedAt($time) // Configures the time that the token was issue (iat claim)
    ->canOnlyBeUsedAfter($time + 60) // Configures the time that the token can be used (nbf claim)
    ->expiresAt($time + 3600) // Configures the expiration time of the token (exp claim)
    ->withClaim('uid', 1) // Configures a new claim, called "uid"
    ->getToken(); // Retrieves the generated token

Bibliotecas

JWT

Implementação mais conhecida de tokens

• PHP: lcobucci/jwt
• Node.JS: auth0/node-jsonwebtoken
• Python: jpadilla/pyjwt
• Site oficial:

Bibliotecas

PASETO

Implementação com design "mais seguro" por padrão

• PHP: paragonie/paseto
• Node.JS: panva/paseto
• Python: rlittlefield/pypaset
• Site oficial: paseto.io

Referências

• Meu slides sobre a libsodium, biblioteca moderna de criptografia
• Symfony Guard, componente do framework PHP Symfony
• Artigo: No Way, JOSE! Javascript Object Signing and Encryption is a Bad Standard That Everyone Should Avoid

Throttling e Rate Limiting

O que é Throttling?

O que é Throttling?

O que é Throttling?

O que é Throttling?

O que é Throttling?

Mas então o que é Rate Limiting?

Mas então o que é Rate Limiting?

Como essas duas práticas se relacionam entre si?

Onde e como configurar essas políticas?

Onde e como configurar essas políticas?

Onde e como configurar essas políticas?

                                limit_req_zone $binary_remote_addr zone=login_zone:10m rate=10r/s;

                                server {
                                    location /login {
                                        limit_req zone=login_zone burst=5;

                                        # outras configurações padrões do meu bloco location...
                                    }
                                }
                            

Onde e como configurar essas políticas?

Onde e como configurar essas políticas?

Onde e como configurar essas políticas?

Referências

• Como implementar no CloudFlare
• Como implementar no nginx

Camuflagem de IDs sequenciais

O que é um ID sequencial e por que escondê-lo?

O que é um ID sequencial e por que escondê-lo?

Versão Standard
Como resolver?

• Crie um segundo campo na tabela com um valor único para aquele registro
  • Esse valor pode ser um GUID, um hash do ID incremental ou um valor aleatório...
• Então, transforme o recurso /user/<IdIncremental> em /user/<Identificador>

Versão Standard
Como não resolver?

PHP

• Funções para gerar valores aleatórios:
  • random_bytes() para PHP 7
    • Para PHP 5, use o polyfill paragonie/random_compat
• Funções para gerar hash:
  • hash_hmac()
• Artigo no blog da Paragon

Versão Standard
Como não resolver?

PHP

Funções que não devem ser utilizadas:

• Para gerar valores aleatórios:
  • rand()
  • mt_rand()
  • uniqid()
• Para gerar hash:
  • sha1()
  • md5()

Versão Standard
Como resolver?

Node.JS

• Módulo Crypto

const { createHash } = require('crypto');

const hash = createHash('sha256');

user.lookupHash = hash.update(user.id).digest('hex');
                        

Versão Standard
Como resolver?

Python

• Módulo crypt (built-in na versão 3)

                            from hashlib import sha256

                            sha256(user.id).hexdigest()
                        

Versão Hardcore
Como resolver?

Criptografando e assinando requisições e respostas

Precaução extra

Precaução extra

Precaução extra

Man in the Middle

• Existem diversos hops entre o cliente e o servidor. Quem garante que todos os gateways do caminho são seguros?
• Se você não for o administrador da sua rede local, alguém pode instalar uma Autoridade Certificadora em sua máquina e emitir certificados próprios

Man in the Middle

• Nem todos os sites utilizam HSTS
  • Ou seja, pode haver uma conexão HTTP antes do redirecionamento para HTTPS pelo servidor
• Teoria da conspiração: grandes empresas possuem backdoors para bisbilhotar seu tráfego

Precaução extra

Precaução extra

Precaução extra

Precaução extra

Precaução extra

Precaução extra

Fluxo de criptografia e assinatura

Fluxo de criptografia e assinatura

Referências

• openssl_encrypt() e openssl_decrypt()
• Artigos usando a libsodium:
  
  • Basic Secret-key Cryptography
  • Basic Public-key Cryptography