Palestra do dia 07/12/2017 às 14:30 na PHPConference http://www.phpconference.com.br/trabalho/detalhar-trabalho/id/33

1. CUIDANDO
BEM DAS
SENHAS

2. SENHA É UMA FORMA DE
GARANTIR QUE O USUÁRIO É
QUEM DIZ QUE É, MEDIANTE A
ALGO QUE ELE SABE.

3. A política de senha é um conjunto de regras
destinadas a aumentar a segurança de computadores,
"forçando" os usuários a utilizarem senhas fortes e
usá-las corretamente.

4. ELAS INCLUEM:
Uso de caracteres especiais ($#!%...) na composição
da senha
Senhas extensas
Troca da senha a cada x período

5. A MAIORIA
DELAS SÃO
INEFICAZES!

9. O QUE
FAZER?

10. NUM MUNDO IDEAL?

11. TAMANHO MINIMO
if (mb_strlen($senha) < 10) {
throw new Exception("Escolha uma senha com mais de 10 digitos")
}

12. NÃO FAÇA VALIDAÇÃO DE
SENHA SOMENTE NO CLIENTE
O cliente pode desligar o javascript, ou utilizar outros
meios para tentar acessar seu login

13. PROTEJA-SE CONTRA CSRF
(CROSS-SITE REQUEST
FORGERY)
)
https://www.owasp.org/index.php/Cross-
Site_Request_Forgery_(CSRF

14. GUARDE TENTATIVAS DE LOGIN
NO BANCO DE DADOS
Quando atingir um certo número de tentativas, joga
um captcha, bloqueie o acesso por x tempo...

15. USE UMA LISTA DE SENHAS
"FRACAS"
http://weakpass.com/

16. USE A BIBLIOTECA DE SENHAS!
$hash = password_hash($senha, PASSWORD_BCRYPT);
// $hash = $2y$10$NEbyGmm00VREYhxGUnas3.vvmfGEQh5kXzxb3RP4FFQZr2xW

17. VERIFICAR A SENHA!
if (password_verify($senha, $hash)) {
echo "senha correta";
}

18. CUSTO!
$hash = password_hash($senha, PASSWORD_BCRYPT, [
'cost' => 12 // Valor padrão é 10
]);

19. VERIFICAR SE NECESSÁRIO FAZER HASH
NOVAMENTE
if (password_verify($senha, $hash)) { // Verifica a senha
if (password_needs_rehash($hash, PASSWORD_BCRYPT, ['cost' => 14]
$novo_hash = password_hash($senha, PASSWORD_BCRYPT, ['cost' =>
}
}

20. USE AUTENTICAÇÃO EM DUAS
ETAPAS
Você pode mandar um email para o cliente, sms ou
telefone.
(Authy)
http://www.totalvoice.com.br/autenticacao-em-2-
fatores/
https://www.twilio.com

21. Gerenciadores de senhas:
PHP
Imagens:
https://www.dashlane.com/
https://1password.com/
https://lastpass.com/
http://keepass.info/
http://php.net/manual/en/function.mb-strlen.php
http://php.net/manual/en/book.password.php
https://xkcd.com/936/
https://www. ickr.com/photos/formalfallacy/205716

22. OBRIGADO
Telegram: @vanildo_souto
Email: vanildo.toneladas@gmail.com
Blog: http://blog.toneladas.com.br