Consejos para realizar un login seguro

ByLuis

Buena serie de consejos a tener en cuenta cuando desarrollamos nuestro sistema de login. Algunos son ya conocidos, pero no está mal recordarlos:

  • Logitud de la contraseña y nombre de usuario: tiene que tener mínimo 6-8 caracteres.
  • Encriptar la contraseña: aunque casi todo el mundo usa MD5 o SHA-1, no está mal del todo usar SHA-2 (disponible en PHP5), ya que las anteriores ya no son tan seguras como hace tiempo.
  • Añade una semilla a la contraseña: cuando encriptes la contraseña es recomendable añadirle un texto para que el hash sea mas seguro.
  • No uses nombres sencillos para el administrador: evita usar nombres como “admin”, “root”, …
  • Registra los intentos de login: así se podrá detectar cuando estamos siendo atacados.
  • Maneja los errores: cuando se produce un login fallido, o evita que se produzca un error, o muestra un error personalizado, no muestres errores de código que puedan dar pistas al atacante.
  • Filtra la entrada: filtra lo que el usuario meta en su usuario para evitar inyecciones de código y no compruebes si la contraseña es correcta mediante SQL.
  • Usa LIMIT o WHERE 1: es importante para evitar comprometer muchas cuentas si sufrimos un ataque.
  • Usa nonce: nonce es un número único para la sesión, así nos aseguramos de que no se realicen ataques de fuerza bruta usando diccionario.
  • Usa sólo $_POST: $_GET es más sencillo de usar que $_POST, aunque no quita que usando $_POST no nos encontremos con problemas.
  • Cuentas MySQL: utiliza un usuario con permiso de select para realizar el login, así, si rompen tu seguridad, no podrán hacer deletes, updates o inserts.
  • Auto logout: Si quieres darle mayor seguridad, desconecta al usuario automáticamente pasado un cierto tiempo de inactividad. Aunque desde el punto de vista de la usabilidad no es muy recomendable.
  • Bloque la cuenta: si se han intentado varios logins consecutivos y han sido fallidos, se debería bloquear la cuenta.

PHP Secure Login Tips And Tricks

Vía / DZone

Similar Posts

OpenWFE: workflow engine para tus aplicaciones web

ByLuis

openwfe.pngOpenWFE es un motor de workflow (flujo de trabajo) open-source para ser usadas en las aplicaciones que realicemos.

Quizás, para aquellos que no sepan que es un motor de workflow, debamos antes empezar por explicar un poco de qué se trata un workflow. El workflow nos indica cómo estructurar las tareas que se deben realizar en nuestra aplicación. Nos muestra cómo se ejecutan las acciones, en que orden, que relación hay entre ellas, el control de qué usuarios ejecutan ciertas tareas, el flujo de información entre ellas y un seguimiento de estas.

openwfe2.png

Esta herramienta nos es muy útil cuando una aplicación tiene etapas o pasos a seguir, acciones concretas para cada paso y diferentes acciones para distintos perfiles de usuario. Por ejemplo, supongamos que tenemos una aplicación editorial, para controlar el proceso de la publicación de un libro habrá una serie de acciones a seguir: el autor entrega un primer capítulo, el editor lo recibe y lo admite como publicable o no, si se pretende publicar, avisará al escritor de que siga escribiendo el libro. En ese caso, el autor irá enviando versiones sucesivas, que irá recibiendo el editor, correctores y personas que aporten ideas. Cuando el libro esté finalizado, lo recibirá el corrector y luego se mandará a plublicar. Bueno, yo no tengo ni idea del proceso de publicación de un libro, pero el ejemplo creo que sirve para identificar las acciones que se ejecutan, el orden , los usuarios que intervienen y el intercambio de información (en este caso el libro).

Aunque, yo personalmente nunca he trabajado con OpenWFE, ya que me ha tocado usar Oracle Workflow, veo esta engine muy buena, entre otras cosas porque aunque está escrita en Java, tiene librerías para Python, Perl, Ruby, C# (.NET), PHP y pnuts, a parte de ser tambien una BPM.

OpenWFE

Más información

Editor de .htaccess online

ByLuis

Buena herramienta que nos permite crear ficheros .htacces de forma online, muy útil para aquellos que no tienen conocimientos de Apache pero que necesitan modificar el .htaccess.
Mediante diferentes opciones y formularios, nos permite rellenar los datos necesarios para que nos vaya devolviendo el .htaccess final. Este editor nos facilita la labor a la hora de: no permitir el acceso a ficheros, autenticacion, páginas de error, páginas por defecto, redirecciones y restricción de accesos.
.htaccess Editor

Cómo realizar un diseño web 2.0

ByLuis

Un buen artículo en el que nos explican cómo pasar nuestro diseño a diseño web 2.0. Claro, cada cual tiene sus gustos y sus conceptos de diseño y puede que no esté de acuerdo con todo lo que se dice, pero aún así es un artículo a tener en cuenta.

Resumiendo un poco el post, nos encontramos con los siguientes consejos:

  • Simplicidad: cuanto más sencillo mejor, es necesario tener en cuenta que todos los sitios webs tienen sus metas y que cada página tiene su propósito. Es necesario obtener la atención del usuario, pero cuidado que su atención es algo que se acaba. La simplicidad es algo que siempre deberíamos tener en cuenta, elimininando contenido innecesario pero sin quitar funcionalidad.
  • Layout centrado: muy característico de la web 2.0 es tener en contenido centrado en la página.
  • Menos columnas: mientras que antes lo normal era un diseño en 4 columnas, ahora lo más utilizado son las dos columnas, evitando así llenar completamente la pantalla y reforzando el primer punto, la simplicidad.
  • Navegación arriba: separar la navegación del contenido principal no es nada nuevo, pero en este caso se resalta que se situe arriba.
  • Diferenciar distintas áreas: que a simple vista, cada área con diferente funcionalidad sea claramente diferenciable, incluso sin ser resaltadas con diferentes colores.
  • Navegación sencilla: debemos conseguir que el usuario sepa dónde está y a qué contenidos puede acceder desde donde está.
  • Logos en negrita: limpios, en negrita y fuertemente marcados.
  • Tamaño de texto grande: haciendo el texto grande se consigue mayor atención que con el texto pequeño.
  • Introducciones en negrita: consiguiendo así mayor impacto visual sobre las cosas más importantes.
  • Colores fuertes: usando colores brillantes y fuertes se consigue una separación de contenidos más sencilla.
  • Superficies con detalle: ya sea mediante sombras, resaltados, difuminados, que las superficies no sean simples, sino más realistas.
  • Gradientes
  • Reflejos
  • Iconos atractivos: es necesario que sean fácilmente reconocibles, que no provoquen confusión.
  • Contornos estrellados: sobre todo con el beta dentro.

Web 2.0 how-to design style guide

Vía / dzone

Cherokee: servidor web rápido y potente

ByLuis

Cherokee es un servidor web muy rápido y con muchas funcionalidades. Según los benchmarks es el más rápido que existe, lo cual es bastante interesante.
Permite FastCGI, SCGI, PHP, CGI, SSI, TLS y conexiones encriptadas SSL, Virtual hosts, Authentication, codificación “on the fly”, Load Balancing, logs compatibles con Apache, balanceo de bases de datos, Reverse HTTP Proxy, Traffic Shaper, Video Streaming y mucho más.
Lo mejor del todo es que el proyecto lo lleva un madrileño, lo peor de todo es que desconocía totalmente el proyecto 🙁
Cherokee
Vía / HowtoForge

Comparativas de licencias opensource

ByLuis

Seguro que a alguno le pasa como a mí que se pierde entre tanta licencia. Si formas parte de mi grupo, te vendrá bien esta comparativa sobre licencias opensource que se basa en 4 preguntas:

  • ¿Puedo darle mi nombre al trabajo derivado?
  • ¿Debería el trabajo derivado continuar siendo opensource?
  • ¿Puedo cambiar el tipo de licencia del trabajo derivado?
  • ¿Puedo vender el trabajo derivado?

Los tipos de licencia que comenta son:

Open Source licenses comparison table