Newsgroup: it.comp.sicurezza.varie
Titolo: Proteggere dati sul webtramite password

Salve, fino ad ora sul mio sito sono riuscito solo a proteggere pagine
grazie a svariati script. Ora vorrei proteggere file tramite password e non
so da dove partire. Ringrazio anticipatamente chi mi saprà dare consigli.

 so da dove partire. Ringrazio anticipatamente chi mi saprà dare consigli.
Potresti partire informandoti da chi gestisce il tuo spazio web se 
supporta fra i servizi l'autenticazione e in che modo. In caso 
contrario, nisba.

 nel MSG
news:sXiXd.632798$
b5.28...@news3.tin.it
 ha scritto : 

in che senso proteggere file? di che tipo di file si tratta?
-- 
Ciao, Dmitry

"Vincent Vega" ha scritto:

Già... ci ho pensato, in verità mi hanno commissionato il sitozzo solo che
non mi hanno ancora dato la password per accedere allo spazio web. Grazie

 non mi hanno ancora dato la password per accedere allo spazio web. Grazie
In buona sostanza, se il server non ti da la possibilità di gestire aree 
protette, la cosa non si può fare.

 protette, la cosa non si può fare.
yuhu! ;-)

 in che senso proteggere file? di che tipo di file si tratta?
perlopiù immagini, audio e video... se hai qualke idea alternativa spara ;-)

 spara ;-) 
non so se ho capito, vediamo:
1) un utente accede ad una pagina preventivamente autenticata e da 
questa perň non vuoi che scarichi dei file audio/video se non conosce 
la password o una eventuale coppia user e pass.
R:
usi delle thumb dove ha una idea della immagine da scaricare e poi 
autentichi sulla immagine ad alta risoluzione (caso tipico dei siti 
porno)
2) un utente apre una pagina autenticata, scarica un file e vuoi che 
questo sia leggibile solo nel filesystem da cui č stato creato
R:
usi un server che adotta un Fylesystem crittato (NT/2000 ad esempio)
settando il file con gli opportuni permessi ai gruppi di utenti che 
vuoi.
3) vuoi far accedere un tuo utente ad una area protetta del filesystem 
con le autorizzazioni del caso
R:
SSH (da preferire con sistemi *NIX)
-- 
Ciao, Dmitry

 porno)
Considera che non sono un patito di sicurezza, potresti spiegarmi
dettagliatamente questa prima risposta? Le altre due mi suonano complesse se
non impossibili. Grazie cmq

 complesse se non impossibili. Grazie cmq
si usa, premetto che io non sono un webmaster di professione, però 
conosco bene il PHP con il quale puoi farle, dicevo si usa dare in un 
sito del genere delle immagini a bassa risoluzione, oppure delle 
miniature (le thumbs) che poi portano alle immagini in formato normale 
(quando per normale si intende con una buona risoluzione).
In questo caso il php (ma non solo) ti viene in aiuto potento stabilire 
all'interno di ogni html alcune aree protette.
PS: il mio eventuale aiuto può essere utile solo se usi apche+php, 
altre piattaforme non ne conosco (nel senso che non le prendo in 
considerazione)
-- 
Ciao, Dmitry

 vuoi.
Non ho mai letto tante ca%%ate cosě, tutte assieme. Ma che cavolo 
vuoi settare i permessi ad client esterno via php??? Non farmi ridere.
-- 
Backups?  We doan *NEED* no steenking baX%^~,VbKx    NO CARRIER
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 ridere. 
idiota, se tu prendi una frase fuori dal suo contesto e la quoti (a mň 
di come usi lo scopino a scuola per intenderci) č evidente che non ha 
nulla del significato originale. Fessacchiotto, chi ha mai scritto che 
lo fai con php?
-- 
Dmitry (se una scopetta vuoi dominare  Due di pacche devi chiamare!)

 lo fai con php?
Con qualche linguaggio lato server lo devi pur fare no? Te la riquoto
tutta:
"2) un utente apre una pagina autenticata, scarica un file e vuoi che
questo sia leggibile solo nel filesystem da cui č stato creato
R:
usi un server che adotta un Fylesystem crittato (NT/2000 ad esempio)
settando il file con gli opportuni permessi ai gruppi di utenti che 
vuoi."
Cosa vuorresti fare? Settare per ogni utente del sito un utente sul 
file system del server? Bella poi la frase *sia leggibile solo nel 
filesystem da cui č stato creato* Ma piantala di sparare cazzate... 
Mai sentito parlare di DRM? Ecco, FORSE con qualche cosa del genere 
ci riesci, scordati il resto.
-- 
IBM: Incredible Bowel Movement


 sul file system del server? 
lol :) mai sentito parlare di multiutenza? si parlava cmq di utentei
autenticati. Ti faccio presente, per quanto scomodo da fare
manualmente ma molto comodo se fatto in modo automatico (ovvio se
hai la scopetta tra le mani diventa già più difficile), che NT è
nato proprio per questo e che poi se te lo usi a casa probabilmente
questa caratteristica non ti serve, è un altro paio di maniche. Il
caso poi era puramente teorico, ancora non si sapeva cosa volesse
per bene l'utente, difatto in un post successivo si è capito che la
richiesta è molto più semplice di quello che avevo ipotizzato (erano
ipotesi peraltro)

 stai parlando di questo accrocchio?
Insomma proprio non l'hai capito eh? Spiegami TECNICAMENTE cosa 
VORRESTI FARE per fare in modo che un utente che si è autenticato e 
ha scaricato quindi lecitamente il file (video, immagine, etc...) 
venga impedito di visualizzarlo altrove usando ciò che tu stesso 
scrivi: "usi un server che adotta un Fylesystem crittato (NT/2000 ad 
esempio) settando il file con gli opportuni permessi ai gruppi di 
utenti che  vuoi."
ROTFL.
-- 
Don't comment or patch bad code; rewrite it.


 utenti che  vuoi."
Svicoli, (critti con EFS cmq) dalla domanda iniziale si potevano fare 
solo supposizioni. la soluzione era decisamente piů a portata di mano 
(se ho ben capito).
-- 
Ciao, Dmitry

 (se ho ben capito).
Aha! Io svicolo! Incredibile! La domanda iniziale era chiarissima:
"Salve, fino ad ora sul mio sito sono riuscito solo a proteggere 
pagine grazie a svariati script...."
mio sito, script... ti dice nulla? Trattasi di sito web ovviamente...
Poi arriva la chicca: "critti con EFS"! ROTFL... 
EFS? Via web? Tu non sai neppure come funziona EFS suvvia...
-- 
Stack Overflow:  Too many pancakes...


 pagine grazie a svariati script...."
 
e la risposta, capita la domanda, era:
|>> usi delle thumb dove ha una idea della immagine da scaricare e
|>> poi autentichi sulla immagine ad alta risoluzione (caso tipico dei
|>> siti porno) 
|> Considera che non sono un patito di sicurezza, potresti spiegarmi
|> dettagliatamente questa prima risposta? Le altre due mi suonano
|> complesse se non impossibili. Grazie cmq 
|si usa, premetto che io non sono un webmaster di professione, però 
|conosco bene il PHP con il quale puoi farle, dicevo si usa dare in un 
|sito del genere delle immagini a bassa risoluzione, oppure delle 
|miniature (le thumbs) che poi portano alle immagini in formato normale 
|(quando per normale si intende con una buona risoluzione).
|In questo caso il php (ma non solo) ti viene in aiuto potento 
|stabilire all'interno di ogni html alcune aree protette.
ora, fessacchiotto, dimmi cosa c'è di non corretto in questa risposta e 
non in altre, perchè su questa si è fermato il thread. Fesso.
Quindi pare, dico pare, che l'utente volesse sapere semplicemente come 
redirigere una thumbs ad una pagina di autenticazione dove può 
scaricare le immagini 'reali'. Con il PHP una pagina di autenticazione 
del genere la puoi fare in tanti modi, uno semplice potrebbe essere 
questo:
inserisci nella DIR da proteggere un .htaccess (con apache, immagino a 
te sconosciuto):
AuthType Basic
AuthName "Due di pacche area scopettoni"
AuthUserFile C:/akapulce/scopettoni.dat
Require valid-user
mi correggo anzi:
AuthUserFile /dev/null/scopettoni.dat
perchè solo lì meriteresti una dir
oppure nella stessa pagina da proteggere:
<?php
if ($HTTP_AUTHORIZATION!="")
{
    $auth=explode(":",base64_decode(substr(($HTTP_AUTHORIZATION),6)));
    $auth_user=$auth[0];
    $auth_pass=$auth[1];
}
else
{
    	$auth_user=$_SERVER['PHP_AUTH_USER'];
    	$auth_pass=$_SERVER['PHP_AUTH_PW'];
}
if($auth_user!="duedipacche" or $auth_pass!="\scopetta") {
    Header("WWW-Authenticate: Basic realm=\"Scopettoni FAN CLUB\"");
    Header("HTTP/1.0 401 Unauthorized");
    echo "Sono un fesso perchè tendo a scordarmi il mio lavoro!<br>\n";
    exit;
}
?>
LOL :) questa per te dovrebbe anche andar bene direi ... ora però basta 
trollare eh, tu te ne torni a fare il bidello ed io l'elettricista eh?
-- 
Ciao, Dmitry

 |>> siti porno) 
Molto, molto interessante... manca solo l'aggiunta della 
*superscazzola con scappellamento a destra* e hai raggiunto 
l'apice... 
mah, in ogni caso, a me interessa sapere un'altra cosa e te l'ho già 
detto e ridetto. Mi vuoi spiegare TECNICAMENTE cosa 
VORRESTI FARE per fare in modo che ad un utente che si è autenticato 
e  ha scaricato quindi lecitamente il file (video, immagine, etc...) 
venga impedito di visualizzarlo altrove usando ciò che tu stesso  
scrivi: "usi un server che adotta un Fylesystem crittato (NT/2000 ad 
esempio) settando il file con gli opportuni permessi ai gruppi di  
utenti che  vuoi."? E soprattutto come pensi di utilizzare EFS? Non 
credo di pretendere troppo. Me lo spieghi a parole tue. Oddio, 
potresti sempre rimediare scrivendo: "ho detto una solenne cazzata" e
la cosa finisce.
-- 
No line available at 300 baud.


utenti che  vuoi."? 
scusate se mi intrometto in questa infinita diatriba... ;)
Immagino che Dmitry intenda modificare la modalità di accesso in
lettura ad un sito web settando in IIS l'accesso per _utenze locali_
del server web. 
In questo modo non vine autenticato l'utente IUSR_<webserver> ma gli
utenti precedentemente inseriti come utenti locali.
Purtroppo c'è una falla in tutto ciò, derivata non dal sistema di
protezione ma dalle conseguenze della navigazione:
Una volta che l'utente si è autenticato ed ha *visualizzato* i
contenuti, ne può disporre come crede, proprio per il fatto che ha i
contenuti nella cache del browser.
A questo proposito penso che l'unico modo per "non visualizzare" il
file in altri contesti diversi dalla navigazione sia esclusivamente
l'utilizzo di tecnologie "diverse" (come ad es. script client side)
che comunque sono bypassabili dalla maggior parte delle utenze con un
semplice *print-screen* :/
Ciao ;)
Davide
--
Prima di postare: 
http://alnitak.ctt.it/%5Erni/smartq.php
Un esperto sempre disponibile: 
http://www.google.it

 semplice *print-screen* :/
approfondisci per favore :) questo non mi è chiaro :)
-- 
Ciao, Dmitry

 contenuti nella cache del browser.
Esatto ma non solo... Una volta che hai scaricato il video, per 
esempio, la cifratura va a farsi friggere. Soprattutto se uso, per 
esempio, un sistema FAT32 per loggarmi al suo server... l'EFS cripta 
il filesystem ma non impedisce (una volta decrittato il file, ovvero 
dopo averlo trasmesso via http) altro...
-- 
IBM: Impious Bacchnalain Metropolis


 approfondisci per favore :) questo non mi è chiaro :)
Le tecnologie client-side lasciano il tempo che trovano...
-- 
An elephant is a mouse with an operating system.


 Le tecnologie client-side lasciano il tempo che trovano...
si ma questa non è una risposta esaudiente.
-- 
Ciao, Dmitry


una cazzata:
accesso via VPN a un server su cui viene condivisa una cartella che puoi
mappare, vedendola come una cartella nell'esplora risorse del tuo pc.
Tu copi i files e li incolli nella cartella, dopodiche' setti i permessi per
gli utenti (che avrai concordato di creare con l'amministratore del server),
dopodiche' via FTP quelli che vogliono scaricare quei files o vi accedono
tramite username e password (anche semplicemente usando Internet Explorer)
oppure ciccia.

Le tecnologie client-side lasciano il tempo che trovano...
mica vero :)
senza entrare troppo nei particolari, che mi dici di un "loader" flash
che visualizza una immagine, un documento, dei dati, controllando da
quale indirizzo avviene la richiesta di visualizzazione? ce ne sono un
bel pň in giro e non č poi cosě semplice bypassare il binario di
partenza[1] :)
ovvio che se mi metti uno script contro le funzioni del tasto destro
del mouse ti rido in faccia ;)
1. non senza un "disassemblatore" di swf che comunque ti da una
visione confusionaria del contenuto del compilato
Ciao!
.


approfondisci per favore :) questo non mi è chiaro :)
mi riferivo alla classica "disabilita tasto destro" oppure alla
sostituzione delle immagini (se di immagini si tratta) con
qualcos'altro al passaggio del mouse, ecc.
Se il problema è impedire la copia dei contenuti protetti, l'unica
precauzione IMHO applicabile è l'introduzione di un "logo" che li
renda non riutilizzabili (anche se non è applicabile con tutti i
contenuti) . L'idea esposta a due di picche è la più valida anche se
molto laboriosa in termini di sviluppo. Ma stiamo andando OT dal
contesto originario ;)
Per quanto mi riguarda ho diverse applicazioni in housing da me
sviluppate, che necessitano l'autenticazione dell'utente, e come
protezione uso l'accoppiata ASP + Database memorizzando hash
codificati non reversibili (se l'utente dimentica la password 'azzi
suoi, mi chiama e gliela cambio al volo ;) ). Per quanto riguarda la
divulgazione dei contenuti non mi sono mai posto il problema poichè i
file in uso da ogni utente lo riguardano direttamente (mi riferisco a
patch di vari prodotti, offerte, circolari e documentazioni
manualistiche) quindi sono affari suoi se vuol causarsi danni
aziendali da solo ;)
Ciao,


 contesto originario ;)
tanto era già andato OT, tanto vale trarne allora qualcosa di buono :)
 
-- 
Ciao, Dmitry

 quale indirizzo avviene la richiesta di visualizzazione? ce ne sono un
Bello. Ma hai mai sentito parlare di sniffer?
-- 
"I have not failed. I've just found 10,000 ways that won't work." -- Thomas A. Edison 


 oppure ciccia.
ti ringrazio, a quanto pare l'unica scianz sta nel contattare
l'amministratore del server :-)

Bello. Ma hai mai sentito parlare di sniffer?
SSL? ;)
Ciao,


 SSL? ;)
Vabbč, allora vado di FRAPS e tanti saluti....
-- 
IBM: International Bit Mangler


 Vabbč, allora vado di FRAPS e tanti saluti....
frappč?
-- 
Ciao, Dmitry

 scusa ma.. 'azzo c'entra?
Se il tuo scopo č farmi vedere l'immagine (perchč devo vederla vero?)
ma non mi permetti di scaricarla faccio prima a screenshootarmi lo 
schermo et voilą...
-- 
The world is coming to an end...  SAVE YOUR BUFFERS!!


Vabbč, allora vado di FRAPS e tanti saluti....
scusa ma.. 'azzo c'entra?
Davide


 scusa ma.. 'azzo c'entra?
vedi! anche te non capisci nulla! :) Lui voleva dire: "ora vado a farmi 
un frappč"
-- 
Ciao, Dmitry

schermo et voilà...
Eh, ho capito, ma non ti basta un ALT+STAMP?
Non dirmi che è più comodo perchè ti crea il JPG direttamente, basta
aprire paint e incollarci dentro il contenuto della clipboard. ;)
Di questo argomento se n'è già straparlato nei gruppi appositi, se
l'utente è autorizzato a *leggere*, tutto ciò che fa *dopo* non è
controllabile nè client-side nè server-side.
L'esempio del flash era per i filmati... che comunque sono
"screenshottabili" con altri sistemi (tipo i "cattura video" per le
presentazioni; quelle dove si vede muovere il mouse, per capirci)


 presentazioni; quelle dove si vede muovere il mouse, per capirci)
Ho infatti citato FRAPS...
-- 
User: A harmless drudge.
