Newsgroup: it.comp.sicurezza.varie
Titolo: tecnica client-server per maggior sicurezza sul web?

Salve!!
In azienda si vuole realizzare un configuratore commerciale e tecnico
( gestisce il documento per l'offerta commerciale, per la conferma
d'ordine e per la validazione tecnica) accessibile in ogni parte del
mondo e inoltre con priorità secondaria il sistema realizzi il gestore
documentale.
Il consulente avrebbe consigliato di implementare con la tecnica
client-server l'applicativo e poi realizzare le facciate web di tutte
le funzionalità tranne quelle dell'amministratore.
Accettando il consiglio del consulente si potrà riutilizzare la
business logic ( il codice che sta tra 'accesso ai dati' e
'interfaccia utente')?
Il consulente propone Visual Studio .NET come tool di sviluppo. Invece
in azienda i programmatori hanno basi solo JAVA ma sono scoraggiati ad
affrontare un software di media dimensione con i rudimentali tool di
sviluppo per Java come il JBuilder. Questo permette di utillizzare
molti controlli come Visual Studio ma con JBuilder per completare una
Form "vestita" purtroppo bisogna mettere le mani parecchio nelle
classi che implementano l'interfaccia utente.
Non esiste qualche altro tool di sviluppo per java? A livello di costi
di licenze non sarebbe meglio la soluzione Java su server
Linux(considerando gli almeno 150 - 200 utenti del sistema futuro)?
 
Grazie a tutti
Ciao

 Linux(considerando gli almeno 150 - 200 utenti del sistema futuro)?
Rischiando di scatenare una guerra di religione, ti rispondo:
Sicuramente ! Dal punto di vista del costo delle licenze, te la puoi
cavare con 0 (Zero) Euro.
-- 
Giambo - Occhio al filtro antispam _e_ alla whitelist !

  
Classico consulente poco esperto .
Conosce solo ambienti Microsoft , tenta di rifilare solo Microsoft e alla fine Microsoft li fotte pure lo stipendio ....
Vuoi un consiglio ? Cambialoooooo , solo per come si è esposto nella soluzione lo avrei salutato .
Prova a domandargli se i soldi per le licenze li puoi detrarre dal suo onorario .

 wrote in message
news:24a0360.04121...@posting.google.com...


 wrote in message
news:20041214081...@lbartolomai.localdomain...


 con i rudimentali tool di sviluppo per Java come il JBuilder.
E pensare che c'è gente che sviluppa in vi <g>
Sì, ma la sicurezza?
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 Sì, ma la sicurezza?
tra l'altro. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
perl -e 'print $i=pack(c5,(41*2),sqrt(7056),(unpack(c,H)-2),oct(115),10);'

Linux(considerando gli almeno 150 - 200 utenti del sistema futuro)?
Per mia esperienza il tool è l'ultimo dei problemi, si riesce a
lavorare bene con .Net e con Java, e fare applicazioni bucate sulla
sicurezza con entrambe.
Per la scalabilità a 200 utenti, dipende da come viene realizzata
l'applicazione, il disegno del database e della business logic è
fondamentale. Un buon disegno diminuisce rischi e carico sul
microprocessore.
Oltre alle conoscenze serve l'esperienza, di solito vengono
sottovalutate problematiche che poi pagano gli utenti o con dei
rischi, l'azienda. Per esempio delle strutture dati parallele
denormalizzate garantiscono l'efficienza e la riapplicazione costante
delle condizioni di sicurezza sui dati (i buchi di sicurezza
applicativi sono molto diffusi). 
Io ho visto buoni e pessimi progetti di automazione forza vendita
fatti con tutte le tecnologie. La discriminante è sempre stata
l'esperienza, si deve realizzare un sistema che abbia:
log estesi, tracciature di modifiche e cancellazioni, profilazione,
dati soggetti a diritti per gruppi, query automatiche di controllo,
suddivisione tra tempo reale e attività batch, reporting... e poi
ovviamente GUI amichevole, intuitiva e efficace.
Per quanto riguarda la domanda in oggetto, devo dire che mi trovo
meglio con un applicazione web:
- Ho nativamente un log applicativo dettagliato che mi ha permesso in
più occasioni di valutare attacchi o paventati bug. Per fare lo stesso
con un client-server dovrei tracciare tutta la business logic, anche
lato client;
- Ho visto spesso considerare il client server più sicuro perché si fa
arrivare la sicurezza perimetrale fino al client (VPN). In realtà
prendendo possesso di una di queste macchine è abbastanza semplice
avere un accesso incontrollato al sistema;
- Molte applicazioni client-server in circolazione non sono a tre
livelli lasciando canali di comunicazione con il database
pericolosamente aperti
- In una rete commerciale la percentuale di attacchi dall'interno è
più alta, c'è più mobilità
(...)
Poi serve un analisi del rischio che non può prescindere dal valore
dei dati e molto altro.  
Andrea Benoni
www.inbiz.it