Newsgroup: it.comp.sicurezza.varie
Titolo: GateKeeper

... e' un sistema per "proteggere" con password una pagina.html che sta
su un server cui ovviamente non abbiamo accesso come root
(tiscali, supereva, yahoo e quant'altro per capirsi).
Si basa su un javascript che carica la pagina "segreta"
<password_dell'utente>.html...
Pensavo che scaricando tutta la directory con wget ad es. chiunque
avrebbe potuto bypassare la richiesta di autenticazione, ma...
wget scarica solo la pagina index.html.
Sicuramente c'e' qualcosa che ignoro relativamente all'http e che mi
impedisce di capire dove sta il trucco. Quindi lo chiedo a voi: dove sta
il trucco? Quant'e' sicura 'sta cosa?
Ah, l'url e': 
http://junior.apk.net/~jbarta/tutor/keeper/
tnx. :)
-- 
GHERdO, AMiGA Supporter Since 1988
	happy linux user
"Guarda Sophia, guarda la vita che vola via..."	

il trucco? Quant'e' sicura 'sta cosa?
Il webserver permette di settare per le directory, in particolare per
quelle senza indice di default, come index.htm, la possibilità di
essere "listate" o no. A volte capita di arrivare in una cartella web
e vederne i contenuti, perchè non è stata bloccata.
Credo che come metodo di protezione sia secondo (in senso negativo)
solo al confronto diretto delle pw in javascript :-)
-- 
dario...@iol.it
http://dariobrunocorti.freeweb.org
; 
http://dario.eyep.net
ICQ#: 37438061
--
The only good Windows is an uninstalled Windows.

solo al confronto diretto delle pw in javascript :-)
Perche' dici cosi'? In fondo se uno non conosce l'esatta denominazione
del file da scaricare s'attacca...


il trucco? Quant'e' sicura 'sta cosa?
Il trucco e' nel mettere come "non listabile" la directory che
contiene i file da proteggere, cosi' wget (o simili) non ha *nessun*
modo di poter sapere della loro esistenza, dato che non sono linkate
(almeno non direttamente), e non son visibili.

 del file da scaricare s'attacca...
Si può sempre provarle tutte, e provare tutte le parole di media
lunghezza (in cui peraltro il charset è più ristretto per rispettare
il protocollo http) è più semplice che non provare tutte le coppie
nome utente / password con charset molto esteso come in altri tipi di
protezione.
-- 
dario...@iol.it
http://dariobrunocorti.freeweb.org
; 
http://dario.eyep.net
ICQ#: 37438061
-----


(almeno non direttamente), e non son visibili.
Ok, me ne sono reso conto provandolo sul mio apache qui.
Denghiu' :)


protezione.
Aaah, in quel senso sono d'accordo. Ma non pensavo alla sicurezza
assoluta. Pensavo soltanto che per una mia ipotetica pagina va piu' che
bene visto che nessuno spenderebbe tanti cicli macchina per sapere cosa
nascondo. =)
tnx =)


il trucco? Quant'e' sicura 'sta cosa?
Oh, sicurissima. E' la stessa tecnica che uso io, sulla mia home page:
mi dimentico sempre di mettere i links alle nuove pagine, per cui solo
chi sa dove sono e che nome hanno se le puo' leggere 8-D
Attenzione, che su alcuni siti e' meno sicura di quello che si pensa.
Leonardo
".signature": bad command or file name

Attenzione, che su alcuni siti e' meno sicura di quello che si pensa.
Nel senso? Che alcuni permettono di listare le directory, o altro?


Nel senso? Che alcuni permettono di listare le directory, o altro?
No. Che alcuni servers hanno un motore di ricerca che, per far prima,
NON controlla le pagine linkate, ma solo i files sul server.
E io, quella volta, andai a UserSearch.pl, inserii il nome del povero
pirla, e ZAC una lista di pagine, delle quali una settantina dentro a
una directory "secret" (ci avrei giurato).
Se il pirla in questione mi legge, si ricordi che quando gli ho detto
di aver estratto le pagine con una opzione di Lynx, non ho violato l'
obbligo di dire la verita' [*]: ho fatto infatti
	lynx -dump "...UserSearch.pl?query=..." | grep "nome" \
	| cut ... | sort ... | more
A questo proposito, se QUALCUN ALTRO legge la pagina con password, ed
usa un proxy, una traccia della pagina rimane nel proxy, e non so, se
quel proxy fosse abbinato a motori di ricerca strani... hai visto mai
i casi della vita...
Leonardo cautelante
[*] il geas non parla di "dire TUTTA la verita'"


NON controlla le pagine linkate, ma solo i files sul server.
uh... carino ]8-)
