Newsgroup: it.comp.www.php
Titolo: Aumentare la sicurezza nelle procedure di login

Ciao a tutti,
Mi chiedevo quali sono gli accorgimenti che si possono mettere in atto per 
aumentare la sicurezza in una procedura di login.
Escludendo https, di cui non posso disporre:
- E' utile tenere le password nel DB non in chiaro (es. in MD5)? Mi sembra 
questo ti protegga nel caso che il DB venga violato in sola lettura, ma se 
il cracker guadagna l'accesso completo serve a poco...
- Registrare la password in una variabile di sessione può essere rischioso?  
tecnicamente fra il server ed il client passa solo l'ID, le variabili non 
dovrebbero uscire dal server, o mi sbaglio?
- Volendo implementare un meccanismo tipo "ricorda la mia password" con i 
cookies serve a qualcosa criptare la password con md5 o sha1? Se qualcuno 
intercetta il cookie che sia in chiaro o no cambia poco... Può sempre 
usarlo per loggarsi al server con le credenziali dell'utente in questione..
C'è qualche tutorial da leggere per farsi un'idea sull'argomento?
Grazie!
-- 
L'indirizzo di posta non è valido! Per contattarmi in privato usate il 
form: 
http://www.gerry.it/serve/mail/
The mail address given is invalid, if you want to contact me, please use 
this form instead: 
http://www.gerry.it/serve/mail/
La gente pensa che chiunque possa suonare la batteria nei Ramones. Quando 
arrivò, Clem chiese a Johnny quanti tempi doveva suonare. La risposta fu: 
veloce e più veloce. Dopo due settimane era fuori dal gruppo

 con i cookies serve a qualcosa criptare la password con md5 o sha1?
Mah, di solito non salvo mai la password sul client. Piuttosto salvo
l'IDUtente, che e' una cosa piu' effimera.
Se cerchi con google si trovanoi molti tutorial su come scrivere web
application "sicure".
-- 
I'am what I'am, I do what I can
Sei un newbie? Leggi questo 
http://url.repository.biz/go/1

 usarlo per loggarsi al server con le credenziali dell'utente in questione..
io non lo farei, tanto se l'utente vuole puň farlo fare direttamente al
browser
-- 
Chinaski FDB
www.glabs.it
email: 
ulloatildisturboglabs.it
togli il disturbo per scrivermi
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 application "sicure".
OK, tnx!


 serve tenere la sua password in sessione ?
Se sei paranoico, la controlli ad ogni cambio di pagina; meglio se è
crittata, ovviamente!
E, per quanto mi riguarda, essere paranoici non è _mai_ un male! ;-)
Ciao!
--ev

 ha scritto nel messaggio
news:Xns9469A2917A87...@130.133.1.4...


 chiudi il browser.
Quali sarebbero i vantaggi di utilizzare le sessioni?
Oltretutto con il trans-sid abilitato riesci a gestire anche gli utenti
che non supportano i cookie.


 che non supportano i cookie.
Ma è pericoloso... una volta per distrazione ho mandato ad un mio amico via 
icq un url con il mio SID dentro.
E se è capitato a me che so cosa significa figurati a uno che non ne ha la 
più pallida idea ;P
-- 
L'indirizzo di posta non è valido! Per contattarmi in privato usate il 
form: 
http://www.gerry.it/serve/mail/
The mail address given is invalid, if you want to contact me, please use 
this form instead: 
http://www.gerry.it/serve/mail/
There are only 10 types of people in the world. Those who understand 
binary, and those who don't ..

 Beh' e' un metodo utilizzato anche da MySQL.
Ora mi ricordo perchè avevo scartato l'idea...
Il problema di MD5 è che è una criptazione one-way quindi non puoi più 
risalire alla pass originale.
Per esempio non puoi più usare il tipico form "rimandami la password 
dimenticata via mail".
Dovresti implementare qualcosa come la generazione automatica di una nuova 
password, ma questo apre le porte ad altri tipi di problemi... Se un utente 
vuol rompere le p@lle ad un altro utente basta che lancia la procedura di 
cambio password periodicamente (con un semplice script) e combina un casino 
enorme... insomma, è da ponderare.
-- 
L'indirizzo di posta non è valido! Per contattarmi in privato usate il 
form: 
http://www.gerry.it/serve/mail/
The mail address given is invalid, if you want to contact me, please use 
this form instead: 
http://www.gerry.it/serve/mail/
There are only 10 types of people in the world. Those who understand 


 ponderare.
Questo lo risolvi con un sistema tipo double opt-in.
Quando l'utente richiede la rigenerazione della password gli mandi una
email ad uno script (con token) che effettua realmente la modifica
della password.


 ha la più pallida idea ;P
Se stai facendo il bagno non e' il caso che ti asiughi i capelli con il
phon.


 phon.
Devo proteggere anche gli stupidi, non è un caso che nei phon adesso 
mettono ogni genere di security block ;P
