Criptografía en PHP

ByLuis

Muy buen artículo en el que se nos enseña cómo usar criptografía en PHP. Para ello empiezan con una pequeña introducción sobre qué es la criptografía y el por qué hay que usarla. Se centra en dos funciones dadas por PHP: md5 y root13, la primera se trata de una codificación hash en un solo sentido, mientras que la otra se trata de un algoritmo bidireccional de desplazamiento de los caracteres alfanuméricos en 13 posiciones.
A la vez nos explicarán el uso de la librería mcrypt y la instalación y uso como si se tratara de una extensión. En este caso, mcrypt se trata de un hash en ambos sentidos y segura (cosa que no es rot13).
Para poder comprender mejor el artículo, ponen dos ejemplos que nos hacen ver mejor el uso de estas técnicas: encriptar cookies y encriptar información sensible de la base de datos.
PHP Cryptography
Vía / Dzone

Similar Posts

Agilizar tus aplicaciones PHP con la elección correcta de funciones

ByLuis

Hay muchos consejos para agilizar tus scripts de PHP, pero en este caso se concentran en el uso de funciones y sus funciones alias. Por lógica la llamada a una función será más rápida que la llamada a una función alias, salvo en un caso que la verdad me sorprende.

Los porcentajes que se muestran son reales, pero quizás no sean perceptibles, ya que el uso de estas funciones puede ser mínimo en un desarrollo, pero bueno, si algo de tiempo obtenemos, mejor que mejor.

Las funciones son las siguientes:

  • sizeof y count: count es un 12% más rápida.
  • is_int y is_integer: is_int es un 9% más rápida.
  • chop y rtrim: rtrim es un 7% más rápida.
  • doubleval y floatval: floatval es un 4% más rápida.
  • fwrite y fputs: fputs es un 23% más rápida, esta es la comparativa que me sorprende, porque fputs es alias de fwrite. Que alguien me lo explique, ¿una diferencia del 23%? o no son alias o el ejemplo está mal medido.
  • implode y join: implode es un 5% más rápida.
  • ini_alter y ini_set: ini_set es un 19% más rápida.

7 tips for lightning fast PHP sites

|

Steponas Kazakevicius’ Blog: Interruptable file download

ByLuis

Steponas Kazakevicius has written up a new tutorial about file uploading and, more specifically, making an upload tool that can handle interruptions. Have you ever been to a website that offers downloads of stuff? And while you are waiting for the download, there are lots of ads around? Sure you have. I have too. The last day I was downloading stuf …

Post original

|

Evitar Cross-Site Request Forgeries en PHP

ByLuis

Siempre que hagamos una aplicación web, tenemos que tener muy encuenta las cuestiones de seguridad, sobre todo las formas más conocidas de ataque. Una de estas formas es Cross-Site Request Forgeries, que más o menos viene a decir Falsificación de Petición desde Otro Sitio (quizás la traducción no es exacta, pero creo que lo explica bien).

Este ataque se produce cuando a un usuario se le conceden permisos, confiando en él, pero no teniendo en cuenta que otra gente pueda aprovecharse de ello. Supongamos que tenemos una página de compra de artículos, cuya aplicación controla perfectamente los campos de entrada y que tiene una función que realiza la operación de compra de artículos.

Tenemos el formulario HTML:

<form action="compra.php" method="POST">
Artículo: <input type="text" name="articulo" />
Cantidad: <input type="text" name="Cantidad" />
<input type="submit" value="Comprar" />
</form>

El primer fallo que solemos cometer es leer las variables de entrada mediante $_REQUEST:

<?php
session_start();
if (isset($_REQUEST['articulo'] &&
isset($_REQUEST['cantidad'])) {
compra($_REQUEST['articulo'],
$_REQUEST['cantidad']);
}
?>

Una forma muy utilizada para realizar un ataque y que al autor del artículo le gusta mucho, es mediante el uso de una imagen:

<img src="http://ejemplo.org/compra.php?articulo=CAFETERA&cantidad=1000" alt="ads" />

Con esto conseguimos que el usuario que visita nuestra página tambien haga una petición a la página en cuestión sin que él lo sepa, claro, que esto solo funciona si el usuario a la vez tiene una sesión abierta en la página que se está atacando.

La solución es añadir una marca formada por un número “encriptado” y un tiempo para que tenga que renovarse esta marca. La marca se debe crear y pasar en el formulario por el que se envían los datos y a parte se debe controlar su existencia, si coincide y si no ha superado el timeout.

<?php
$marca = md5(uniqid(rand(), TRUE));
$_SESSION['marca'] = $token;
$_SESSION['tiempo_marca'] = time();
?>
<form action="compra.php" method="POST">
<input type="hidden" name="marca" value="<?php echo $marca; ?>" />
Artículo: <input type="text" name="articulo" />
Cantidad: <input type="text" name="Cantidad" />
<input type="submit" value="Comprar" />
</form>
<?php
if ($_POST['marca'] == $_SESSION['marca']) {
$diferencia_tiempo_marca = time() - $_SESSION['tiempo_marca'];
if ($diferencia_tiempo_marca <= 300) {
/* Menos de 5 minutos */
}
}
?>

Artículo original: Security Corner: Cross-Site Request Forgeries

Vía / backdraft

Expresiones regulares con filtros en PHP

ByLuis

Buena alternativa para validar variables usando expresiones regulares usando filtros:

  • Validar números reales
$values= array(10.75, '10.75', -1234.5678, 'This is a string', array());
$filteredValues = filter_var($values, FILTER_VALIDATE_FLOAT, FILTER_REQUIRE_ARRAY);
  • Validar expresiones regulares
if(filter_var($value, FILTER_VALIDATE_REGEXP, array('options' => array('regexp' => "/^G(.+)/")))) {
// Lo que sea
}
  • Validar URLs
$url = 'http://www.devshed.com';
if(filter_var($url, FILTER_VALIDATE_URL)) {
// Lo que sea
}

Working with Regular Expressions with Filters in PHP 5

|

PHPillow: librería PHP para CouchDB

ByLuis

PHPillow es una librería PHP que nos permite interactuar con CouchDB (base de datos documental de Apache basada en JSON).

Ahora que el NoSQL es una alternativa a las bases de datos relacionales, esta librería nos ayudará bastante a la hora de realizar nuestra aplicación, ya que el código es bastante sencillo.

class myBlogDocument extends phpillowDocument { 
  protected static $type = 'blog_entry'; 
  protected $requiredProperties = array( 'title', 'text', ); 
  public function __construct() { 
    $this->properties = array( 
      'title' => new phpillowStringValidator(), 
      'text' => new phpillowTextValidator(), 
      'comments' => new phpillowDocumentArrayValidator( 'myBlogComments' )
    ); 
    parent::__construct(); 
  } 
  protected function generateId() { 
    return $this->stringToId( $this->storage->title ); 
  } 
  protected function getType() { 
    return self::$type; 
  } 
}

PHPillow

Drigg: clon de Digg con Drupal

ByLuis

Aquellos que quieran crear una web al estilo Digg ya lo pueden hacer mediante Drigg, un módulo para Drupal que nos ofrece este servicio. Para su uso es necesario disponer de otros dos módulos: user_karma y un módulo para votaciones (preferiblemente extra_voting_forms.
Es sencillo de usar y permite modificar el theme de forma fácil. Los fotos se realizan también de forma simple, pudiendo elegir entre 4 tipos de votos. Además permite crear votos automáticos para el inicio de la aplicación para darle actividad aleatoria a la aplicación.
Drigg
Vía / Smashing Apps