Newsgroup: it.comp.sicurezza.varie
Titolo: registrazione account da web

Mi stavo ponendo un problema di sicurezza riguardo la registrazione 
di account tramite web. Ultimamente per evitare che programmi ad hoc 
creino automaticamente degli account tramite il form web ho 
implementato il sistema di controllo e verifica di un numero che 
viene creato dinamicamente con una .png ( 
www.x-privat.org/mail.php
 )
Ho poi fatto in modo che al momento della registrazione i dati utenti 
vengano scritti su una directory non visibile da apache sul mio 
server web. Viene poi inviata una mail all'utente a cui viene chiesto 
di confermare la richiesta tramite un link. Il link rimanda ad un 
altro file PHP che estrae i dati utenti precedentemente memorizzati e 
li confronta con la richiesta di attivazione (inutile dire che i dati 
sono cifrati md5). 
Ci sono secondo voi altri accorgimenti utili ? (escludendo la pagina 
SSL che è in previsione ma non fattibile ora per tutta una serie di 
motivi che non sto qui ad elencare..) 
Forse pecco di troppo scrupolo, ma mi sto abituando a questo metodo 
di pensiero :)
-- 
Ciao, Dmitry

 ha scritto nel messaggio
news:65971730D3...@x-privat.org...

Scusa,ma tutto questo per cosa?se per esempio aprissi una free email mi
facessi mandare li il messaggio a cosa servirebbe tutto questo ambaradan?
:-)

:-)
??
a due cose:
1) viene verificato che il richiedente della mail sia in effetti 
reale
2) viene reso impossibile la registrazione automatica con tool 
appositi (utilizzando la .png)
-- 
Ciao, Dmitry

 appositi (utilizzando la .png)
Viene reso impossibile anche ai non vedenti.
Tastiere braille o lettori "a voce" non sono in grado di
interpretare il png.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Viene reso impossibile anche ai non vedenti.
Se dovessi scegliere tra fare un miracolo per ridare loro la vista e 
farne un altro per rendere una PNG vocale, sceglierei la prima. 
Ahime, non sono Dio e i miracoli solo a lui sono permessi.
 
-- 
Ciao, Dmitry

 Ahime, non sono Dio e i miracoli solo a lui sono permessi.
Anche ai Santi, se e' per quello, ed e' uno dei requisiti per la
beatificazione.
Ma l'accessibilita' di un sito/servizio non necessita di un miracolo,
solo di pensare che non tutti sono uguali, nell'uso dei sensi.


 dei sensi. 
La domanda era se si poteva ritenere tale sistema sicuro non se fosse 
accessibile da tutti (Dio compreso)
-- 
Ciao, Dmitry

 
Beh, direi di si', e' abbastanza sicuro dai soliti ignoti, se non ci si
mettono d'impegno.
Anche se, una volta che lo si sa, decodificare un png e passarlo ad un
OCR non e' poi cosi' fuori dal mondo.
E' sempre la solita rincorsa, tra chi protegge e chi cerca di forzare.
La sola cosa che ti puo' salvare *davvero* da registrazioni automatiche
e' l'imprevedibilita' del sistema.
Tutto il resto e' solo questione di tempo.


 Tutto il resto e' solo questione di tempo.
si vero, però considera che non sono un ISP e non vi è interesse nel 
molestare tanto il sistema (almeno ad oggi).
A registrazione effettuata poi vi sono tante altre restrizioni che 
scoraggiano un uso improprio della mail: anche di questo sarebbe 
interessante parlare ma ho idea che non sia il NG più adatto :)
-- 
Ciao, Dmitry