Newsgroup: it.comp.www.php
Titolo: Privacy ASSOLUTA!!! Come si bypassa la history/cache ?

Devo fornire, a una richiesta che puo' partire da qualunque PC della 
intranet, una pagina di dati "sensibili", che devono essere visti solo 
da persone autorizzate.
Gli autorizzati si autenticano con un sistema (in JS) che non fa passare 
password sulla lan. Al login io faccio un session_start e mi salvo l'IP 
per controllare le future richieste di quella stessa sessione.
A questo punto mi sento tranquillo e servo le pagine coi dati sensibili
al richiedente.
Ma ho ancora un fianco scoperto: Come posso essere sicuro che quei dati 
non rimangano da qualche parte sul PC? Non so' bene quali cache e/o 
history attivi IE (5 o sup), ma DEVO essere certo che non ne rimanga 
traccia.
Che precauzioni/azioni devo adottare?
Grazie a chi mi aiutera'
Marco
PS: dimenticavo ho il controllo del server (Apache/Win2000) ma non posso 
usare HTTPS (se mi sniffano il traffico .... vabbe' pace)

Ciao, Ux!
Il giorno 22/07/2004 alle ore 18:56 hai scritto:
 U> Ma ho ancora un fianco scoperto: Come posso essere sicuro che quei dati
 U> non rimangano da qualche parte sul PC?
Non puoi. Dal momento in cui escono dal server, escono anche dal tuo
controllo. Puoi mettere degli header per impedire il caching ma nessuno ti
garantisce che il browser onori i comandi.
 U> Non so' bene quali cache e/o history attivi IE (5 o sup), ma DEVO essere
 U> certo che non ne rimanga traccia.
 U> Che precauzioni/azioni devo adottare?
Client proprietario (un'applet Java magari) che riceve i dati codificati.
Non sei sicuro al 100% ma e' sempre meglio di niente. Sarebbe anche
opportuno non farli circolare per la rete pubblica.
 U> PS: dimenticavo ho il controllo del server (Apache/Win2000) ma non posso
 U> usare HTTPS (se mi sniffano il traffico .... vabbe' pace)
Vabbe' pace un corno. La prima cosa che si fa quando si trattano dati
sensibili e' proteggere il canale di trasmissione e non hai la possibilita'
di usare https ? Bel sistema. Mi auguro che non ci siano dati che mi
appartengono nel tuo database.
Bye
-- 
Hard to see, the Dark Side is.
http://www.maccasoft.com

 posso usare HTTPS (se mi sniffano il traffico .... vabbe' pace)
Perche' non puoi usare HTTPS? Su una lan sniffare l'HTTP e' semplice.
-- 
I am what I am, I do what I can
L'uomo, conscio di sbagliare, persevera.

 appartengono nel tuo database.
No dai, forse ho esagerato. Ci sono dati economici, tipo busta paga, che 
uno consulta via intranet ma non ha piacere che altri vedano.
L'https e' la soluzione migliore, ma su quel server girano gia' altre 
cose in HTTP e io sono poco esperto di Apache e non vorrei fare danni.
E facile configurare Apache per l'https ?
Ciao
Marco

 Perche' non puoi usare HTTPS? Su una lan sniffare l'HTTP e' semplice.
Come ho risposto a M.M. un po' per mia ignoranza e comunque su quella 
lan si affacciano certi "hacker" che potrei viaggiare anche senza 
autenticazioni. Pero' i responsabili del progetto vogliono ugualmente 
qualche lucchetto.
Ciao
Marco

 E per impedire la riapertura della pagina segreta con il tasto Back?
Puoi usare le sessioni (es. in modo che l'utente non possa aprire due
volte la stessa pagina o simili).
