clemensandClaude Opus 5
f8bcfebc9e
login.php erzeugte expires_at mit PHPs date(), verify_2fa.php verglich gegen MySQLs NOW(). Webserver (secureserver.net) und Datenbankserver (mysql2fda.netcup.net) liegen bei verschiedenen Anbietern und sind unabhaengig voneinander konfiguriert. Laeuft PHP in UTC und MySQL in Europe/Berlin, liegt expires_at (PHP-Zeit + 5 Minuten) zwei Stunden vor NOW() - jeder Code gilt sofort als abgelaufen und wird als "Falscher oder abgelaufener Code" abgewiesen. Die Ablaufzeit wird jetzt beim INSERT per DATE_ADD(NOW(), INTERVAL 5 MINUTE) berechnet. Erzeugung und Pruefung benutzen damit dieselbe Uhr, unabhaengig davon, wie die beiden Server eingestellt sind. Ausserdem: - Der eingegebene Code wird auf Ziffern reduziert. Aus HTML-Mails kopierte Codes schleppen oft Leerzeichen oder geschuetzte Leerzeichen mit, die den Hash-Vergleich scheitern liessen. - Abgelaufener Code und falscher Code werden getrennt gemeldet, damit ein solcher Fall kuenftig ohne Raten eingegrenzt werden kann. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
121 lines
4.3 KiB
PHP
121 lines
4.3 KiB
PHP
<?php
|
|
ob_start();
|
|
session_start();
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
|
|
/* ---------- Kein direkter Zugriff ---------- */
|
|
if (empty($_SESSION['2fa_userid'])) {
|
|
header('Location: login.php');
|
|
exit;
|
|
}
|
|
|
|
$error_msg = '';
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && !empty($_POST['code'])) {
|
|
|
|
$userId = (int)$_SESSION['2fa_userid'];
|
|
|
|
// Aus HTML-Mails kopierte Codes enthalten haeufig Leerzeichen oder
|
|
// geschuetzte Leerzeichen. Der Code besteht immer aus sechs Ziffern.
|
|
$eingabe = preg_replace('/\D/', '', (string)$_POST['code']);
|
|
$codeHash = hash('sha256', $eingabe);
|
|
|
|
// Der Ablauf wird in SQL geprueft (NOW()), nicht in PHP: der Webserver
|
|
// und der DB-Server stehen bei verschiedenen Anbietern und koennen in
|
|
// unterschiedlichen Zeitzonen laufen. Wuerde die Ablaufzeit in PHP
|
|
// erzeugt und gegen NOW() verglichen, waere jeder Code sofort
|
|
// "abgelaufen". Ablauf und Tippfehler werden getrennt gemeldet.
|
|
$stmt = $pdo->prepare("
|
|
SELECT id, (expires_at > NOW()) AS noch_gueltig
|
|
FROM intern_2fa_codes
|
|
WHERE user_id = :uid
|
|
AND code = :code
|
|
LIMIT 1
|
|
");
|
|
$stmt->execute([
|
|
'uid' => $userId,
|
|
'code' => $codeHash
|
|
]);
|
|
|
|
$row = $stmt->fetch(PDO::FETCH_ASSOC);
|
|
|
|
if ($row && $row['noch_gueltig']) {
|
|
|
|
// Code löschen (Einmalverwendung)
|
|
$pdo->prepare("DELETE FROM intern_2fa_codes WHERE user_id = :uid")
|
|
->execute(['uid' => $userId]);
|
|
|
|
session_regenerate_id(true);
|
|
|
|
$_SESSION['userid'] = $userId;
|
|
$_SESSION['2fa_verified'] = true;
|
|
unset($_SESSION['2fa_userid']);
|
|
|
|
/* ---------- Gerät merken ---------- */
|
|
if (!empty($_POST['remember_device'])) {
|
|
|
|
$identifier = bin2hex(random_bytes(32));
|
|
$token = bin2hex(random_bytes(32));
|
|
|
|
$pdo->prepare("
|
|
INSERT INTO intern_securitytokens
|
|
(user_id, identifier, securitytoken, expires_at)
|
|
VALUES (:uid, :identifier, :token, :expires)
|
|
")->execute([
|
|
'uid' => $userId,
|
|
'identifier' => $identifier,
|
|
'token' => hash('sha256', $token),
|
|
'expires' => date('Y-m-d H:i:s', time() + 30 * 24 * 3600)
|
|
]);
|
|
|
|
$opts = [
|
|
'expires' => time() + 30 * 24 * 3600,
|
|
'path' => '/',
|
|
'secure' => true,
|
|
'httponly' => true,
|
|
'samesite' => 'Lax'
|
|
];
|
|
|
|
setcookie('remember_device', $identifier, $opts);
|
|
setcookie('remember_device_token', $token, $opts);
|
|
}
|
|
|
|
header('Location: index.php');
|
|
exit;
|
|
}
|
|
|
|
$error_msg = $row
|
|
? 'Der Code ist abgelaufen. Bitte melden Sie sich erneut an, damit wir Ihnen einen neuen Code schicken können.'
|
|
: 'Der eingegebene Code war nicht korrekt.';
|
|
}
|
|
|
|
include("templates/header.inc.php");
|
|
?>
|
|
|
|
<div class="container small-container-330 form-signin">
|
|
<form action="verify_2fa.php" method="post">
|
|
<h2 class="form-signin-heading">Zwei-Faktor-Authentifizierung</h2>
|
|
|
|
<p>Die Praxis Creutzburg sichert diesen Zugang mit einer Zwei-Faktor-Authentifizierung ab.<br>
|
|
Sie benötigt neben Ihren Passwort auch den zweiten Faktor: eine zufällig generierte Nummer, die an Ihre E-Mail-Adresse versendet wurde.<br>
|
|
Der zweite Faktor ist 5 Minuten gültig.<br>
|
|
Prüfen Sie bitte jetzt Ihr Postfach und auch Ihren Spam-Ordner auf eine E-Mail von uns und geben Sie hier die sechsstellige Nummer ein.<br></p>
|
|
|
|
<?php if(!empty($error_msg)) echo $error_msg; ?>
|
|
<label for="inputCode">6-stelliger Code</label>
|
|
<input type="text" name="code" class="form-control" placeholder="Code eingeben" required>
|
|
<br>
|
|
<div class="checkbox">
|
|
<label>
|
|
<input type="checkbox" name="remember_device" value="1"> Dieses Gerät für 30 Tage merken
|
|
</label>
|
|
</div>
|
|
|
|
<button class="btn btn-lg btn-primary btn-block" type="submit">Bestätigen</button>
|
|
</form>
|
|
</div>
|
|
|
|
<?php include("templates/footer.inc.php"); ?>
|