Newsgroup: it.comp.sicurezza.varie
Titolo: Protezione pagine web

Ciao a tutti!
Vi scrivo per porvi un problema che, non rientrando tra i miei interessi
principali, non avrei idea di come risolvere...
Ecco la situazione: mi ritrovo con un sito che contiene degli indirizzi
e-mail e dei nominativi. Per la tutela della privacy vorrei far sì che
venisse chiesta una password nota solo alla comunità interessata, di modo
che il primo spammer o il deficiente di turno non cominci a fare idiozie con
le informazioni contenute.
Sottolineo che voglio solo una password, niente user, che sarà cambiata
periodicamente. Non deve essere niente di trascendentale, semplicemente
qualcosa che mi eviti i problemi sopra descritti...
Quindi:
1. linguaggio: è sufficiente l'html? Dubito... JScript?
2. ci terrei a non usare programmi o servizi esterni, ma a buttare giù il
codice personalmente, mi serve solo una spiegazione generale.
3. vanno bene anche link, non mi sembra un argomento da poter trattare in
uno o due post...
Grazie a tutti!
The Bard.
--
Il cuore, spesso, è meglio sia cieco alle proprie ragioni, e io preferisco
cantare le armi e l'uomo e l'ira della dea, non il tormento dell'amore
insoddisfatto, o soddisfatto, nel giardino gelato del nostro mondo di
ghiaccio. E questo, leopardo, è tutto. - R.  Zelazny

 ciao
Ciao.


 if ($passwd=="passwordscelta"): ?>
Attenzione, non so se e' una buona idea... esistono trucchi per vedere il
codice php, basati su bug del server web, del modulo che gestisce php o su
misconfigurazioni. Sarebbe meglio IMHO memorizzare le password su un db
inaccessibile e interagire con quello.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 144WU/7995hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

Secondo me potresti utilizzare il linguaggio ASP con l'oggetto SESSION.
Per la parte pratica so che in giro per la rete ci sono vari tutorial che
spiegano come fare.
Ciao,
Andrea
"The Bard" <mighty....@SPAMlibero.it> ha scritto nel messaggio
news:vkSx9.119103$%M1.30...@twister2.libero.it...


 pronto all'uso.
La risposta giusta era: no, perche' il php viene interpretato (eseguito) 
dal server e inviato come html in cui la password, evidentemente, non 
compare. Provare per credere.
Per rispondere anche a firebeam, si, e' pericoloso se il server e' 
buggato, se non lo e' c'e' solo il pericolo che qualcuno faccia la talpa 
:)
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

if ($passwd=="passwordscelta"): ?>
Avrei tre obiezioni da fare in proposito.
1. Piu' sicuro usare una autentifica ad hash, cosi' non c'e' la password
   in chiaro nel PHP.
2. Gia' che ci sei, la password (o hash) va fra apici singoli, cosi' che
   non vengano espansi i metacaratteri (si risparmia quel millisecondo)
3. Per maggiore sicurezza i controlli di uguaglianza si fanno a rovescio
   in modo da schiantare subito eventuali bug ( = <=> == ) (questo in un
   caso del genere se applichi (1) direttamente con chiamata a funzione,
   non ha importanza, ma...)
Quindi in definitiva:
<?
	if ('f583ca884c1d93458fb61ed137ff44f6' == md5sum($passwd))
	{
?>
	...
<?
	}
	else
	{
?>
	...
<?
	}
?>
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 quello. 
Ovvio Fire, era solo un esempio, se poi dedicerà di studiare bene
php potrà usare mysql o anche un Database di testo con crittazione

    millisecondo) 
vero, ma ripeto era un esempio banale, se vuoi ti mando un prg
completo almeno correggi qualcosa che uso nella realtà :)
ciao

 evidentemente, non compare. 
Questo francamente lo davo per scontato eh? Ma cosa avete oggi, il 
puntino sull I ad ogni costo? :)

 wrote in
:: 
news:MPG.18345a92b...@powernews.libero.it
:
::
::: La risposta giusta era: no, perche' il php viene interpretato
::: (eseguito) dal server e inviato come html in cui la password,
::: evidentemente, non compare.
::
:: Questo francamente lo davo per scontato eh?
Beh, riguardo PHP e ASP sono assolutamente ignorante...
Quel programmino... me lo potresti mandare? ;)
Tnx!

news:ishksuk2gikac8v9j...@L.Serni: 


Si', ma per quello si paga :-)
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 in chiaro... O no?
Credo di no, il client dovrebbe ricevere solo la pagina HTML risultante
dall'elaborazione del codice php. Il problema e' pero' che con qualche
trucco in certi casi e' possibile accedere al codice.
PS: Forse intendevi dominio di *secondo* livello :-) Quelli di primo sono
i vari .it, .com, .org, ecc.


azz, ma dove sono finiti i buoni propositi? :))
Nel secondo cassetto, sotto alle bollette di acqua, luce, telefono e
gas.


 puntino sull I ad ogni costo? :)
Siamo o no Bastard Inside? :-) (Full o Very a seconda del grado)


 gas.
ROTFL!
Stef_Ozzy

trucco in certi casi e' possibile accedere al codice.
Quali e dove scovarli per proteggere il codice PHP?

 Quali e dove scovarli per proteggere il codice PHP?
Quasi completamente sul server HTTP in uso.
Per proteggersi, ad esempio, non lasciare password sul codice o, se 
proprio devi farlo, usare degli hash e password molto, molto lunghe.


 ?>
[cut]
ho fatto la stessa cosa: ho cercato su internet un'implementazione
dell'md5 in javascript (dal lato client) e ho usato la funzione
md5($string) del php dal lato server ma le stringhe prodotte risultano
sempre diverse (premetto che ho usato lo stesso computer, quindi non
credo che sia un problema di timestamp)... ho provato con un'altra
implementazione di md5 in javascript, ma niente... ora... che mi
consigliate di fare?
supporre che l'implementazione in javascript dell'md5 sia sbagliata
(quella del php presumo che sia corretta... è inclusa nel pacchetto del
php stesso) e implementarne una scopiazzando il codice in C
dell'RFC1321... oppure... non ho capito niente dell'md5?
grazie,
mauro