Newsgroup: it.comp.sicurezza.varie
Titolo: [ASP] Utente e password cleartext in una pagina asp

Quanto e' sicuro creare una pagina asp nel cui interno e' scritta a lettere
cubitali la user e la pwd per collegarsi ad un db ed eseguire una procedura?
Molto poco, vero?
E' possibile, vero, fare una get del file asp e leggersi la pwd?
Grazie, ciao
--
 ==> Atlantis <==
 Icq # 18752702
http://thenomad.homeip.net
"Il discorso doveva finire qui. Kjow, invece, sprezzante del pericolo,
indiscusso campione dello sci su merda, si arma di sciolina e va.." by cyb

 E' possibile, vero, fare una get del file asp e leggersi la pwd?
Qualche volta sě, ci sono stati (spero che siano stati corretti tutti) 
dei bug del server IIS che permettevano appunto di prelevare file ASP 
facendogli credere che č un txt o cose del genere.

E' possibile, vero, fare una get del file asp e leggersi la pwd?
Salvo bugs, no.
Leonardo
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

 E' possibile, vero, fare una get del file asp e leggersi la pwd?
Se hai installato tutte le patch del caso, salvo ulteriori sviste da parte
di MS (1), non corri questo rischio.
Saluti,
Luca Barbetta kck/skd
(1) Sì, lo so....

 Puoi risolvere però il problema dell'autenticazione in questo modo:
Grazie per la risposta ed i consigli.
Un' altra cosa che mi preoccupare e' che le password di autenticazione tra
client e webserver sono inviate cleartext...


 Salvo bugs, no.
Ah bene, adesso sono molto piu' tranquillo
^__^


 client e webserver sono inviate cleartext...
Ehm... con il metodo che ti ho esposto non viene inviata nessuna password,
ma solo la login ed una stringa hash differente per ogni connessione/utente.
In pratica la stinga hash è una "one time password", per cui intercettarla
non servirebbe a nulla.
Saluti,
Luca Barbetta kck/skd

 non servirebbe a nulla.
:)
Mi sono spiegato male.
Al momento la autenticazione di IIS e' settata su "send pwd in cleartext".
Purtroppo non credo che mi facciano fare quello che mi hai consigliato, sono
fermi sulle loro idee.
Quando il progetto sara' consolidato, gli mostrero' che il loro modo di
pensare, riguardo alle utenze cablate nelle procedure asp, e' *evil*.
Grazie ancora
Ciao


 fermi sulle loro idee.
Se si tratta di un'autentificazione con username/password fatta usando 
gli header HTTP Authorization, allora puoi eventualmente passare ad 
HTTPS, così puoi mantenere i vantaggi di questo genere di 
autentificazione senza avere la password in plaintext che transita in rete.

 autentificazione senza avere la password in plaintext che transita in
rete.
Lo farei, se potessi.
:(


 Grazie ancora
Se ti dico dove ho visto username e password scritte in un file ASP non ci
credi. In realta' non c'e' nulla di male nell'averli dentro la pagina,
tecnicamente, se nessuno riesce a aggirare le protezioni della pagina e a
convincerla a fare qualcosa di male con l'SQL a cui TU le hai dato accesso e
se il tuo provider ti copre bene la directory da intrusioni.
Ciaotutti,
*

 se il tuo provider ti copre bene la directory da intrusioni.
Dove ha visto le password in pagine ASP?
Sono curioso :).
Ok sono un po' piu' tranquillo ora, pero' ho sempre una certa riluttanza ad
avere situazioni del genere (saro' paranoico)... e cmq, se vuoi farti una
risata, tutto sto sito serve per una cosa *molto* delicata, per la quale e'
richiesta "la massima sicurezza possibile" (testuali parole del project
manager).
^__^
Figurati che, da quello che ho potuto vedere, un utente arriva sul sito e
viene autenticato attraverso IIS (utenti locali della macchina) e le pwd
sono mandate in cleartext per deficienze del proxy del cliente.
Il cliente, dopo essersi autenticato, compila dei form a lui riservati, i
cui risultati vengono inseriti in un apposito db sql attraverso l' utente
cablato nel codice asp (quindi non e' il cliente che scrive nel db, ma
questo utente virtuale).
Nel caso di abusi [1], mi faro' 2 risate quando vorranno capire chi ha
abusato, visto che al db non ci accede il cliente...
E' vero, si possono vedere i log di IIS, ma come capire se e' stato Pippo o
Caio a fare casino, quando nel db ho 40 accessi contemporanei come
"pirulazio" ?
Mah...
Grazie mille per l' aiuto... vedro' come questa storia andra' a finire
Ciao
[1] = fai conto che, da un sopralluogo dal cliente, ho visto che tengono
utenze e pwd di accesso alla rete stampate a lettere cubitali ed appicciate
sui monitor... .\___/.


 Sono curioso :).
Cough cough... Diciamo in un sito di rappresentanza che, se viene manomesso,
puo' causare un incidente diplomatico :)
E probabilmente la situazione interna non e' molto diversa da quella che hai
visto tu, nonostante sia un ambiente supersicuo con firewall da parecchie
migliaia di euro.
Ciaotutti,
*

 cyb
ROTFL.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/