Dva dotazy k CD-collection

tak ten prvni problem se mi uz podarilo vyresit, ale s tim kodovanim furt tapu, heslo pri registraci zapisuju do databaze pomoci tohodle kodu:

$heslo = hash('sha256', $form['password']->getValue());

a kdyz ho pak chci vytahnout zpatky pres klasickej password formular

$form->addPassword('password', 'Heslo:')

tak mi nahlasi spatne heslo :-/

puvodne jsem tam mel toto:

$user->login($form['username']->getValue(), $form['password']->getValue());

nahradil jsem to timto:

$pass = (hash('sha256',$form['password']->getValue()));
$user->login($form['username']->getValue(), $pass);

a hlasi to invalid password v obou pripadech

Tridu UserModel nemam, ale kdyz zkousel jsem ten formular prochazet s prilozenym souborem demo.db a s tim to fungovalo, takze bude podle me opravdu problem nekde v tom kodovani.

Mam model Users, ale nejak sem tam vubec nenasel propojeni s tim AuthPresenterem, tak sem dam vsechen kod, kterej se tyka prihlasovani a registrace a budu doufat, ze nekdo bude ochotnej se na to mrknout :)

BasePresenter (jedine co se tyka prihlasovani)

$this->getSession()->start();
$user = $this->getUser();
$this->template->user = $user->isLoggedIn() ? $user->getIdentity() : NULL;

AuthPresenter

class AuthPresenter extends BasePresenter
{

	public $backlink = '';

	protected function createComponentLoginForm()
	{
		$form = new NAppForm;
		$form->addGroup('Přihlašovací formulář');
		$form->addText('username', 'Jméno:')
			->addRule(NForm::FILLED, 'Nezadal jste jméno.');

		$form->addPassword('password', 'Heslo:')
			->addRule(NForm::FILLED, 'Nezadal jste heslo.');

		$form->addSubmit('login', 'Přihlásit');

		$form->addProtection('Please submit this form again (security token has expired).');

		$form->onSubmit[] = callback($this, 'loginFormSubmitted');
		return $form;
	}

	public function loginFormSubmitted($form)
	{
		try {
			$user = $this->getUser();
			$user->login($form['username']->getValue(), $form['password']->getValue());
			$this->getApplication()->restoreRequest($this->backlink);
			$this->redirect('Login:');

		} catch (NAuthenticationException $e) {
      $form->addError($e->getMessage());
		}
	}

}

model Users

class Users extends NObject implements IAuthenticator
{
	public function authenticate(array $credentials)
	{
		$username = strtolower($credentials[self::USERNAME]);
		$password = strtolower($credentials[self::PASSWORD]);

		$row = dibi::select('*')->from('uzivatel')->where('Login=%s', $username)->fetch();

		if (!$row) {
			throw new NAuthenticationException("User '$username' not found.", self::IDENTITY_NOT_FOUND);
		}

		if ($row->password !== $password) {
			throw new NAuthenticationException("Invalid password.", self::INVALID_CREDENTIAL);
		}

		unset($row->password);
		return new NIdentity($row->username, NULL, $row);
	}

}

a ted ta cast, ktera se tyka registrovani: RegisterPresenter

class RegisterPresenter extends BasePresenter
{

protected function createComponentFormPassword() {
  $form = new NAppForm;
  $form->addGroup('Založení nového uživatele');
  $form->addText('username', 'Jméno:')
       ->addRule(NForm::FILLED, 'Zadejte jméno.');

  $form->addPassword('password', 'Heslo:')
       ->addRule(NForm::FILLED, 'Zadejte heslo');

  $form->addPassword('password2', 'Heslo (ověření):')
        ->addRule(NForm::FILLED, 'Zadejte nové heslo ještě jednou, pro kontrolu.')
        ->addRule(NForm::EQUAL, 'Zadané hesla se neshodují', $form['password']);

  $form->addSubmit('submitted', 'Odeslat');
  $form->onSubmit[] = array($this, 'formPasswordSubmitted');

  return $form;
}

public function formPasswordSubmitted($form) {

    $jmeno = $form['username']->getValue();
    $heslo = hash('sha256', $form['password']->getValue());
    return dibi::query("INSERT INTO [uzivatel] (Login, Heslo, Prava) VALUES ('$jmeno', '$heslo', 0)");
}

}

ale jak rikam, kdyz jsem tam zkusil jako vychozi databazi nastavit ten prilozenej soubor demo.db tak vsechny tyhle procedury probehly uspesne, takze musi byt chyba v hashovani toho hesla v RegisterPresenteru.

Editoval warp (18. 11. 2010 10:39)

Při registraci ukládáš do db hash hesla a při loginu s tím hashem porovnáváš normální heslo, co ti user napsal. Takhle to tedy bude fungovat jen pokud ti uživatel napíše hash vlastního hesla.

Databázové operace nedělej v presenteru. Ty volání strtolower jsou podle mě kontraproduktivní. Při registraci neověřuješ, jestli uživatel se zadaným username již neexistuje.

EDIT: too late

Editoval Lopata (18. 11. 2010 11:33)

Si ty hodnoty před tim porovnáním vypiš, ať vidíš proč ta kontrola neprojde.

uz sem nasel kde je zakopanej pes, ale je to tak trapny, ze to snad ani radsi vedet nechcete :D

Pekelnik: tobe se zrejme nikdy nestalo, ze si hledal chybu v programu a pak si ji po nekolikahodinovem hledani nasel v preklepu. dej si nohy do tepla a bude dobre ;)

vsem ostatnim dik za rady, diky takovemu feedbacku je pro me mnohem lehci pochopit Nette jako takovy ;)

Editoval warp (18. 11. 2010 14:37)

tipuji ze bud nemel v DB dostatecne dlouhy string a se mu to osekalo, nebo mel preklep v nazvu hash funkce a pouzival 2 ruzne.

warp: jeste by bylo dobre pridat ke heslu pred hashovanim „salt“, jinak kdokoli kdo ma predpripravene rainbow tables pro sha256 ti vytaha hesla z te DB po jejim ukradeni lusknutim prstu. Kdyz delas salt, tak by musel ukradnout DB + zdrojak aby vubec salt znal, a i se znalosti saltu jsou mu rainbow tables myslim naprd pokud se nemylim. Bez znalosti saltu jsou mu na prd urcite.

T.j.
$hash = sha256( 'Ped dava salt i pred'.$user_password.'a i po.. a delsi' );

btw. databáze nemá řádky – ten překlep byl v názvu sloupce tabulky

Jak jako „databáze je tabulka“?!?

Je dům snad cihla…?

Ja vím. ;-) Ikdyž nemusí být nutně. Do toho ale zabíhat nebudeme.

Doporučuju nastudovat si HMAC, je tam i vzorové řešení pro Javascript a odkaz na PHP funkci hash_hmac. Při odeslání formuláře vezmeš heslo z políčka formuláře, pomocí klíče ho zahashuješ a uložíš do hidden pole. Potom smažeš původní heslo v textovém poli. Je to asi nejbezpečnější varianta, když nemáš k dispozici SSL, protože při každé relaci je klíč jiný, takže pokud útočník odposlechne hash hesla, nemá šanci se s ním ani přihlásit.