Newsgroup: it.comp.www.php
Titolo: Autenticazione utenti

Ciao gente!
Sono nuovo al newsgroup, quindi, per cominciare, i miei omaggi a
tutti.
Vedendo alcuni post degli ultimi giorni, mi chiedo se č mai stato
trattato dettagliatamente il problema dell'autenticazione. Qual'č,
secondo voi, la strategia migliore?
La procedura che credo sia + o - standard č:
-conservare nel db username e password hashata;
-su login, generare una chiave piů o meno univoca e non ricostruibile,
e creare un record su db con chiave, indirizzo ip, id utente
-ad ogni pagina chiamata, se viene passata la chiave (via cookie o
get/post), verificare l'esistenza del record, controllare l'ip, e se č
tutto a posto, dare via libera.
I problemi che mi vengono in mente:
-transito della password in chiaro...
-in una lan nattata, l'indirizzo ip con cui escono tutte le macchine č
uno solo; chiunque puň andare a pigliarsi la chiave di un altro ed
entrare nella sua sessione
-piů che vulnerabile ad un ip spoofing: se riesco ad avere la chiave
(mica difficile, visto che viene passata ogni volta) e ad impersonare
la macchina dell'utente, faccio quello che mi pare.
Rigenerare la chiave ad ogni accesso potrebbe alleviare un po'i
problemi, ma non risolverli.
Voi come vi comportate? Qualcuno ha mai pensato a soluzioni con firma
a chiave asimmetrica? Se sě, come si potrebbe fare con la chiave
pubblica?
A voi!
Ivan (lattepiů)

 pubblica?
la chiave pubblica la lasci in chiaro.
è chi pubblica la chiave che deve conoscere il metodo di decrittazione. (in 
genere l'algoritmo è proprio dipendente un'altra chiave generata 
randomicamente)
tramite chiave pubblica, invii la chiave privata con cui vuoi colloquiare 
in simmetria. anche se ti pinzano l'hash della chiave privata, ora che 
riescono a ripparla hai già finito la connessione da qualche giorno...
comunque si tratta di livelli di sicurezza a livello alto.
o fai il crittoanalista di mestiere (e sarebbe strano cercassi di entrare 
nei siti che faccio io che avranno sì dati sensibili, ma fino a un certo 
punto) oppure un normale utente malizioso si limita ad attacchi di buffer 
overflow o sql-injection. è piuttosto su questi due campi che bisogna 
concentrarsi!!
quindi, occhio al bug-traq di PHP, occhio al codice, occhio alle 
permissions.
ciao!
-- 
Punkarruso
mail:punkarruso chiocchiolona despammed punto com
pubblicità progresso:
http://www.gnu.org/philosophy/no-word-attachments.it.html

ciao!

 pubblica?
Ciao, io in un lavoro che sto facendo mi comporto così:
al momento del login creo un seme univoco e random che contraddistingue
l'utente e lo passo da una pagina all'altra utilizzando le sessioni.
attraverso un algoritmo di encrypt/decrypt passo da una pagina all'altra le
info criptandole e decriptandole di volta in volta utilizzando questo seme
come chiave.
Sicuramente non sarà il massimo della sicurezza, ma per i dati che tratto va
bene... sono comunque interessato a soluzioni più sicure per il passaggio di
info da una pag all'altra!
E' un bell'argomento del quale se ne discute poco!
Conoscete siti che trattano dell'argomento?
Un'altra cosa: come fare per far apparire una finestra di login che chiede
usr e psw subito all'apertura della pagina?
ciao!

 usr e psw subito all'apertura della pagina?
Ehm, non credo di aver capito bene...
Per far vedere il form di login basta che usi <form>, ma sono convinto 
che questa cosa già la sapevi... ^____^
Potresti spiegare meglio la tua domanda? ;p
-- 
Luke, lo Steccalecca
    Email:   
alessandro...@tin.it
      ICQ:   120242146
Home Page:   
http://www.fanwars.cjb.net

 usr e psw subito all'apertura della pagina?
Se ti riferisci a .htaccess, si tratta di una direttiva di apache.

 fare.
già... ma per sbattersi a reinventare nuovi algoritmi di cifratura (secoli 
di studi), tanto vale appoggiarsi a SSL, magari tenendo d'occhio i nuovi 
standard (come l'AES) e fidarsi di chi fa della sicurezza il proprio 
mestiere!
(per me è nuovo discutere di auth sui ng!)
ciao :-)
-- 
Punkarruso
mail:punkarruso chiocchiolona despammed punto com
pubblicità progresso:
http://www.gnu.org/press/2002-04-11-ms-patent.html

 che questa cosa già la sapevi... ^____^
prendo appunti...  ;-)
ciao!