Contenido

1 Qué es autentificarse
- 1.1 Modos de autentificarse
2 Protocolo http vs https
3 Autentificación por el servidor web
- 3.1 Crear la lista de usuarios
4 Crea un fichero de usuarios

Qué es autentificarse

Por autentificarse vamos a entender el mecanismo por el cual el servidor web puede estar relativamente confiado en que está siendo consultado por una determinada máquina y/o persona.
Como ejemplos de modos de autentificación, podemos visitar esta página y ver diferentes modos en los que piden autentificarse.

https://www.tractis.com/login

Modos de autentificarse

Contraseña y usuario.
1. Almacenar el usuario en sesión (Lo veremos más adelante).
Dni digital.
Certificados digitales de usuario.
Autentificación basada en Tokens.
1. Usando el protocolo Auth 2.0 (Lo veremos en app híbridas usando el protocolo Auth 2.0).
2. Usando JSON Web Token (JWT) http://self-issued.info/docs/draft-ietf-oauth-json-web-token.html

Delegando la autentifiación basada en token

1.Autentificarse a través de la cuenta de Twiter

http://www.maestrosdelweb.com/twitter-autenticacion-oauth-api-login/

2.Autentificarse a través de la cuenta de Facebook

http://www.elwebmaster.com/articulos/autenticacion-de-usuarios-con-facebook-connect-y-google-friend-connect

3.Autentificarse a través de la cuenta de Google

http://www.ladrupalera.com/drupal/desarrollo/javascript/como-usar-una-api-de-google-con-autenticacion-traves-de-oauth2

Seguro que hay mas sistemas y seguro que muy interesantes, pero estos son los que aquí veremos.
Nosotros en este tema usaremos el modo de contraseña y usuario. En dos temas posteriores, cuando veamos servicios web usaremos otro sistema como google; igualmente se podría usar la cuenta de facebook o twiter para identificarte, en la relación anterior hay algún enlace por si es de tu interés.

La responsabilidad de exigir una clave de acceso puede recaer sobre el servidor web (en nuestro caso apache), con los módulos de seguridad.

En este caso restringimos el acceso a la página o sitio web.
Otra opción habitual es tener un sitio con cierto contenido y en el sitio dar la posibilidad de identificarse / registrarse.
A usuarios identificados se les ofrece otro contenido diferente.

Respecto a estos conceptos vamos a trabajar este tema que es el primero de tres aspectos de este tema.

Protocolo http vs https

Este es un concepto importante, diferenciar en contenidos que se envíen de forma segura (usar cifrado en el envío que es lo que se hace con https) y en el hecho que para acceder a un sitio tengan un nivel de seguridad que implique que de alguna manera te tengas que autentificar.
La seguridad del envío de datos es otro aspecto diferente del tema de la autentificación.
En seguridad entre otros aspectos tenemos:

La autentificación mecanismos por los cuales podemos confiar en que quien se ha identificado es conocido para el sistema.
La confidencialidad son mecanismos con los que podemos confiar en que nadie puede ver el contenidio de la información ni modificarla durante la transmisión.

Ambos mecanismos debería de trabajar conjuntamente. Por ejemplo si yo envío una contraseña para identificarse, pero con un sniffer, alguien la puede capturar y ver en claro, no conseguimos nada de seguridad.

Para la transmisión segura se emplea el protocolo https.
Este tema se estudia en el módulo de despliegue de aplicaciones web.

Tip: Nosotros usaremos http sin cifrar, pero se insiste en que no es segura la transmisión, pues podría ser objetivo de espía informático.

Autentificación por el servidor web

https://httpd.apache.org/docs/2.4/howto/auth.html

Es el propio servidor http quien nos ofrece este método de autentificación.
A pesar de ser un tema de configuración de Apache cuyos contenidos se ven en el módulo de implantación de aplicaciones módulo 3, aquí nos va a interesar, cómo podemos hacer que sea el servidor el que solicite las credenciales y recoja los datos aportados, y cómo desde php podemos ver esos valores o datos y gestionarlos en nuestro programa.
Vamos a analizar el mecanismo de autentificación que usa apache.

Definir los usuarios con acceso permitido.
Se puede indicar a qué recursos tiene acceso el usuario en concreto (me refiero a qué páginas).
Generar en cabecera http un código http 401 que es un código de acceso restringido. ##Este código hace que el usuario reciba un formulario para aportar sus credendiales.
El navegador al recibir ese código solicita credenciales.
El servidor recibe estas credenciales y las almacena en sus variables superglobales para futuras solicitudes.

A continuación analizaremos cada uno de estos pasos

Crear la lista de usuarios

Usamos la herramienta htpasswd para crear un fichero con los usuarios y sus contraseñas

http://httpd.apache.org/docs/2.4/es/howto/auth.html

En caso de no tener la herramienta instalada debemos hacer la instalación de las herramientas o utilidades de apache escribiendo:

sudo apt-get install apache2-utils

Este comando tiene una serie de opciones que podemos ver en línea de comandos sin mas que escribir su nombre.

Usage:
	htpasswd [-cmdpsD] passwordfile username
	htpasswd -b[cmdpsD] passwordfile username password
 
	htpasswd -n[mdps] username
	htpasswd -nb[mdps] username password
 -c  Create a new file.
 -n  Don\'t update file; display results on stdout.
 -m  Force MD5 encryption of the password (default).
 -d  Force CRYPT encryption of the password.
 -p  Do not encrypt the password (plaintext).
 -s  Force SHA encryption of the password.
 -b  Use the password from the command line rather than prompting for it.
 -D  Delete the specified user.
On other systems than Windows, NetWare and TPF the '-p' flag will probably not work.
The SHA algorithm does not use a salt and is less secure than the MD5 algorithm.

Es importante la opción -c para crear el fichero. Recuerda usarla sólo la primera vez; cuando la usas se crea el fichero, y si ya existiera se elimina el contenido del fichero y se crea de nuevo.
Para incorporar nuevos usuarios se escribe sin opción y se añade el nombre de los usuario
Por seguridad es importante añadir el fichero en una ubicación fuera del directorio documentRoot del servidor web.

Ficheros de usuarios

Crea un fichero de usuarios

Ficheros de usuarios

crea un fichero llamado misUsuarios y añade 3 usuarios maria/maria nieves/nieves sara/sara. Se indica usuario/password
Posteriormente visualiza el contenido del fichero.
Observa cómo la pass aparece cifrada.

Modo de actuación

1.- Primero nos ubicamos en el directorio donde queramos añadir o crear el fichero

cd /home/MiUsuario
MiUsuario es vuestro propio directorio en home.

2.-Ahora creamos un directorio para guardar esta información y nos movemos en él.

mkdir usuarios
cd usuarios

3.-Una vez correctamente ubicados generamos el fichero de las password con la herramienta htpasswd. En este caso crearemos 3 usuarios: (maria, nieves y lourdes).

La primera vez con opción -c para crear el fichero
 htpasswd -c misUsuarios maria
 htpasswd  misUsuarios nieves
 htpasswd  misUsuarios lourdes

Indicar los recursos restringidos : .htaccess

Para este cometido, apache nos permite usar el famoso fichero .htaccess que a continuación vamos a explicar.
Para habilitar el uso de este fichero debemos indicarle al servidor web que vamos a utilizarlo. Esto se especifica en la directiva AllowOverride
Para más información ver

http://www.bdat.net/documentos/apache/x367.html

Y la oficial (siempre la mejor).

 http://httpd.apache.org/docs/2.4/es/mod/core.html#allowoverride

En nuestro caso tenemos que poner el valor AuthConfig o bien All
Una vez que hemos hecho esto, cada vez que vaya a coger un fichero de un determinado directorio, antes de entregarlo, verificará que si existe un fichero .htaccess en ese directorio, en cuyo caso pedirá credenciales.
Para indicar los recursos restringidos usaremos las siguientes directivas (Este será el contenido del fichero .htaccess
AuthName Nombre de dominio de la authentificación.
AuthType Tipo de autentificación, pudiendo ser Basic y más segura Dijest
AuthUserFile Ruta del fichero de los usuarios con permiso.
AuthGroupFile Ruta del fichero de los usuarios con permiso.
Require valid-user o usuarios concretos de la lista que sí que tendrán acceso al recursos si se acreditan correctamente. group o grupos concretos a validar

{{MRM_Actividad|Title= Accesos restringidos| Accesos Restringidos

En el caso de querer crear un grupo se haría de la siguiente manera
Primero creamos un grupo en un fichero

grupo1: user1 user2 user3

guardamos esta información en un fichero, por ejemplo

/home/manuel/credenciales/grupoAdmin

Por supuesto estos usuarios deben de ser incluidos en el fichero de password, con el comando htpasswd
Y ahora especificamos el grupo en las restricciones de acceso en el fichero .htaccess con la directiva AuthUserFile para especificar el grupo y en la directiva RRequire' especificamos group y nombre de grupo.

AuthType Basic
AuthName Restricción de grupos
AuthUserFile /home/manuel/credenciales/passwords
AuthGroupFile /home/manuel/credenciales/grupoAdmin
Require group

Tip: Recordar que el módulo de grupo debe de estar habilitado

a2enmod authz_groupfile

En este caso la validación la hace el servidor apache. Es decir, si se ejecuta el fichero solicitado, es porque apache ya ha validado.
Si se validó previamente, apache utiliza cookies de sesión, que desde php no podemos modificar ni borrar, por lo que si volvemos a entrar en la página ya no nos pedirá validación.
Observa el ejemplo anterior en el cual se ha creado una página para eliminar el usuario dejando solo acceso a un usuario que no existe y así forzamos que se borre el anteriormente registrado.

PHP accediendo a información http

Ahora viene la parte que realmente nos interesa a nosotros/as, qué es usar esto, dentro de nuestro código php.
En este caso no vamos a necesitar el fichero .htaccess, ya que no queremos que apache realice la validación, queremos hacerla dentro de nuestro script.
Desde el código de php podemos acceder a la información facilitada por el servidor.
Tenemos que conseguir hacer que si se validó correctamente ejecutemos el script completo y si no se ha validado que se le entregue un formulario de validación que entrega apache cuando queremos validar.
Para ello vamos a usar la función header para crear cabeceras y entregar un página para autentificarse en caso de que no se haya autentificado (el formulario), y si se ha identificado cogeremos las credenciales facilitadas y las verificaremos.
Para recoger las credenciales del formulario, accederemos a la matriz asociativa $_SERVER

Accediendo a las credenciales del formulario que ofrece apache

La matriz asociativa variable superglobal $_SERVER contiene esta información.

Concretamente los índices:

PHP_AUTH_USER Es el nombre del usuario
PHP_AUTH_PW Es la password del usuario
AUTH_TYPE Es el tipo de seguridad utilizado

PHP accediendo a los datos de identificación

Php accediendo a los datos de identificación

Usar función header para la autentificación

La referencia de la función header Sirve para crear cabeceras de la página solicitada

http://es.php.net/manual/es/function.header.php

Vamos a usarla para unas acciones concretas.

Modificar el texto de error

En este caso no vamos a usar el fichero .htaccess. Cuando accedemos a una página y no nos hemos identificado aparece un error 401. Nosotros vamos a solicitar una autentifiCación tipo basic. < br/> Para ello especificamos la cabecera WWW-Authenticate.Ademas de especificar el modo de autentificación ponemos el mensaje que verá el usuario:

    header('WWW-Authenticate: Basic Realm="Página de acceso restringido. Necesitas credenciales"');

Para no mostrar la página solicitada se envía un código 401, lo que provoca que se solicite un usuario y contraseña antes de visualizar el resto de la página. El código quedaría:

    header('HTTP/1.0 401 Unauthorized');

El código completo quedaría:

 <?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic Realm="Contenido restringido"');
    header('HTTP/1.0 401 Unauthorized');
    echo "Usuario no reconocido!";
    exit;
}
?>

Ahora debemos poder especificar cuál va a ser el usuario esperado en esta página. Por ejemplo en la página anterior insertamos un usuario cualquiera y una password cualquiera entraremos ya que no comparamos con ningún valor.

<?php
    echo"Nombre de usuario: ".$_SERVER['PHP_AUTH_USER'] ."<br />";
    echo"Contraseña: ".$_SERVER['PHP_AUTH_PW'] ."<br />";
?>

Verificar el usuario y contraseña

Con el siguiente código verificaríamos el usuario y contraseña usando el modo de header.

<?php
if ($_SERVER['PHP_AUTH_USER']!='manolo' || $_SERVER['PHP_AUTH_PW']!='passManolo.') {
    header('WWW-Authenticate: Basic Realm="Contenido restringido"');
    header('HTTP/1.0 401 Unauthorized');
    echo "Usuario no reconocido!";
    exit;
}
?>

Esto nos podría servir, puesto que el código no se envía al cliente, y él nunca podría ver la password, ni el usuario. No obstante, siempre será una opción más segura, y más versátil tener el usuario almacenado en una base de datos que ya veremos más adelante cuando veamos bases de datos.

Plantilla:PHP/Autentificacion 1

Contenido

Qué es autentificarse

Modos de autentificarse

Protocolo http vs https

Autentificación por el servidor web

Crear la lista de usuarios

Crea un fichero de usuarios

Ficheros de usuarios

Indicar los recursos restringidos : .htaccess

PHP accediendo a información http

Usar función header para la autentificación

Verificar el usuario y contraseña

Menú de navegación

Herramientas personales

Espacios de nombres

Variantes

Vistas

Acciones

Buscar

Navegación

Herramientas