php/MySQLによるログイン認証の仕組みとセキュリティ対策

質問

• php/MySQLを使用したID/PWによるログイン認証のシステムを開発する際には、セキュリティ対策に注意が必要です。
• 一般的にクッキーや暗号化を使用した認証方法は、盗聴やクッキーの改変によってセキュリティが脆弱になる可能性があります。
• セキュアなログイン認証を実現するためには、セッション管理やハッシュ化などの技術を組み合わせることが重要です。

回答No.3

1minn

前の方も聞かれてますがSSLなんですか？
それであれば、盗聴に関してはそこまで意識する必要もなさそうな・・・
もちろん万全ではありませんが、そんな簡単に解析されるものではないですから

で、1時間の自動ログインというのはブラウザを閉じても有効なんですか？
（ブラウザって前提で聞いてますけど・・・）

もしそうならcookie以外には識別不能になるので、cookieを使う必要はあると思います。
ただし、cookieにIDやらパスワードを入れるのは論外です。

やるのであれば、DBを使うようなので「ログイン中テーブル」のようなものをつくればよいのではないでしょうか。
ログイン認証を通過した時点でsession_idのような推測されないランダムな文字列をDBにINSERT。
それと同時にcookieにも同じ値をセットすれば認証済みという判定は出来ると思います。

よりデリケートにやるのであれば、キーと値のペアをどちらもランダムな値で持つのもいいと思いますし、通信のたびに値を書き換えるワンタイムトークンのような使い方もよいかもしれません。

他の方も回答されているとおり、cookieの生存時間だけではなく、「ログイン中テーブル」にデータをINSERT（UPDATE）した時間を持たせればそれで判定もできます。

> 本題の質問とは外れてしまいますが、ログインチェック用のセッションとその他のフォーム用のセッションに分けて使用する方法はありませんでしょうか？
>
> それともフォーム送信後にいちいち使用したセッション変数のみを一つずつunset($_SESSION['hoge']);する必要があるのでしょうか？
>
> もしそのようなことに関する情報がありましたら
お教え願えれば光栄です。

SESSIONはそれなりに奥が深かったりもしますが、そんなにとっつきにくいものではないと思います。
よっぽどcookieよりも扱いやすいと私は思います。

$tmp = $_SESSION[login];
session_destroy();
$_SESSION[login] = $tmp;

これじゃだめですか？というか $_SESSIONすべてを破棄する必要がないなら連想配列でわけるだけで済むと思いますが・・・

> またPOSTしたID/PWをcrypt等で暗号化しても、結局は暗号化したデータを盗聴されたら終わりな気がします。

復号される前提の暗号はどこまで行っても安全ではないですよ。（不可逆でもそうですけどね）
ある程度のセキュリティは保つべきですが、終りのない世界なので・・・

お礼

ご回答ありがとうございます。
> で、1時間の自動ログインというのはブラウザを閉じても有効なんですか？
これはブラウザを閉じても有効と言うことになります。

お教えいただいた情報と、自分で調べた情報を参考に
初回ログイン時にランダム文字列のキーを作成し、それをDBに格納、
それをクッキーにも持たせて認証という方法で制作しました。
そのキーはブラウザを閉じてからの自動ログイン時に
再度書き換えられるように設定しました。
これでかなりパフォーマンスは上がったと思っています。

また問題になっていたセッションの問題ですが、

$tmp = $_SESSION[login];
session_destroy();
$_SESSION[login] = $tmp;

上記の方法で問題なく対応できています。

色々とご丁寧にありがとうございました。
奥の深い部分でこれがゴールと言うものはないと思いますが、
日々精進を続けてまいります。