0

Задался вопросом как сделать восстановление пароля пользователя, но без использования базы данных для хранения сгенерированного хэша для ссылки восстановления пароля. Хранить хэш каким-то другим способом тоже нельзя.

Из базовых условий:

  1. Ссылка действительная только для текущего email и пароля пользователя(точнее для хэша пароля, т.к. в базе хранится только он)

  2. Ссылка действительная только в течение 24 часов после создания

Если бы не было второго пункта, то можно было бы просто генерировать каким-то образом хэш от текущего mail и пароля пользователя + добавлять какие-то секретные символы со стороны сервера, а потом сверять какой хэш дал пользователь.

Но как быть со вторым пунктом? Если подставить в хэш ещё метку времени, то не получится.

3 ответа 3

1

Я считаю , что никак. Обьясню почему: 1) все статические источники храненения данных, такие как запись хешей в файл - можно считать некой базой, тут шило на мыло. 2) Возможно вам подойдет вариант записывать в сессию, что не безопасно во-первых, и не практично во-вторых. Т.к пользователь может сделать запрос с одного компьютера, а перейти по ссылке с другого. Но если это типа задачки с универа, то можно реализовать так, и как раз решится проблема с оут тайм , просто храненить сессию будите 24 часа

И если вам не сложно, обьясните , для чего этот велосипед вам нужен?

дополнения ( после комента автора )

пришел в голову один безбожный костыль он будет работать при условии, что пользователь востанавливает пароль , и не заходит в систему ( т.к можно знать текущий пароль, и просто нажать востанавить )

Хешировать всю строку в базе + поле начала процесса востанавления пароля ( мы же не хеш храним )

После, при переходе по ссылке, мы поочередно хешируем все строки в базе и сравниваем каждую с хешем который прилетел в урле ( если пользователь не заходил в систему , то строка в базе не изменилась, тоесть хеш будет одинаковым ) , находим совпедению, смотрим в базе метку начала востанвления, сравниваем с текущей датой ( 24 часа действия ссылки ) ну и делаем что то если меньше 24 часов прошло...

Вот такая логика

3
  • Вопрос не в практической составляющей. Вопрос задали на собеседовании, я не нашёл решения. Но в итоге не сказали как можно было это реализовать, хотя утверждали уверенно, что решение есть, вот теперь мне интересно как. Хранить хэш вообще нигде нельзя, не в базе, не в файле, не в сессии. Мы можем использовать только те данные, что уже есть в базе. Ну и нужно выполнить 2 условия описанных в посте.
    – Floyat
    17 апр 2017 в 12:14
  • В том то и проблема. Что нельзя сохранять метку начала восстановления тоже. Всё что у нас есть - текущий пароль пользователя(или хэш в бд, не важно), текущий почтовый адрес пользователя. Мы отправляем пользователю ссылку, которая действительная 24 часа и должны проверить действительно ли это он и действительна ли ссылка(параметры её). Должно быть хэширование, а не шифрование.
    – Floyat
    17 апр 2017 в 12:31
  • хорошо, тогда в ссылке делать дополнительный гет параметр с временем
    – mydls1
    17 апр 2017 в 12:53
0

Берем структуру данных содержащую:

1. email
2. TTL
3. Новый пароль

Шифруем все это - получаем хеш, отдаем хеш пользователю

При получении хеша - расшифровываем, проверяем TTL и наличие email, меняем пароль

2
  • Задача не подразумевает расшифровку пришедшего хзша от пользователя. Его нужно только сверить со своим(md5, sha и др. подобные алгоритмы), а не расшифровывать. Да и думаю это очень небезопасно.
    – Floyat
    17 апр 2017 в 12:24
  • Хотя мне решение от более опытного пользователя , очень нравится!
    – mydls1
    17 апр 2017 в 12:25
-1

Нашёл выход сам.

Решение №1. Не самое удачное, если срок действия ссылки более суток.

$email      = '[email protected]';
$hashPass   = 'текущий_хэш_пароля_из_бд';

//хэш, который будет отправлен пользователю вместе с ссылкой
$hash       = md5($email.$hashPass.time());

echo "http://mysite.ru/restore?hash=".$hash.'<br>';

//так будет выглядеть проверка корректности хэша
$time       = time();
for ($i = 0; $i <= 86400; $i++){
    if ($hash === md5($email.$hashPass.($time - $i))){
        echo 'Хэш совпадает!';
        break;
    }
}

Решение №2. С симметричным шифрованием.

function base64_url_encode($input) {
    return strtr(base64_encode($input), '+/=', '-_,');
}

function base64_url_decode($input) {
    return base64_decode(strtr($input, '-_,', '+/='));
}

function my_encode($data,$key,$iv){
    $enc = $data.openssl_encrypt(time(), "AES-128-CBC", $key, OPENSSL_RAW_DATA, $iv);
    return base64_url_encode($enc);
}

function my_decode($data,$key,$iv){
    $enc = openssl_decrypt($data, "AES-128-CBC", $key, OPENSSL_RAW_DATA, $iv);
    return $enc;
}

$appCodeKey = '16CodeKeySymbols'; //Initialization Vector для openssl_encrypt/openssl_decrypt
$email      = '[email protected]';
$hashPass   = 'текущий_хэш_пароля_из_бд';
//md5 для примера, можно изменить на другие более криптостойкие алгоритмы
$key        = md5($email); 
$hash       = md5($email.$hashPass);

$encode     = my_encode($hash,$key,$appCodeKey);    

echo "http://mysite.ru/restore?hash=".$encode.'<br>';

//проверка корректности хэша
$decode     = base64_url_decode($encode,$key,$appCodeKey);

$dec_hash   = substr($decode,0,32);
$dec_time   = my_decode(substr($decode,32),$key,$appCodeKey);

if ($dec_hash === $hash && $dec_time >= time() - 86400){
    echo 'Корректный хэш';
}

Наверняка, можно проще или что-то изменить, необязательно хэшировать во втором варианте или передавать email в открытом виде, вторым параметром.

Решение №3.

$ts = strtotime("+1 day");
$link = "http://mysite.ru/restore?email=".urlencode($email)."&ts=$ts&hash=".md5($pass_hash.$email.$ts);

Суть задачи была в теории, а не в практической составляющей. Это будет работать. Вот чего я хотел добиться.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.