Newsgroup: it.comp.sicurezza.varie
Titolo: Domanda HTTPS

Salve, dovrei proteggere una pagina di login che manda al db user name e
password per l'autenticazione.
Ma per usare https basta specificarlo nel link della pagina da proteggere?
tipo 
https://sito/login.html
Perche io ho fatto una prova del genere ed entra in https ma...tutto qua?
già funziona?
Grazie e scusate l'ignoranza...:-P
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 proteggere? tipo 
https://sito/login.html
si ma dall'altra parte vi deve essere un server che riconosce una 
connessione https (non basta che sia sulla 443 ..)
ciao
-- 
By Dmitry 
Posted from X-Privat Free NNTP server - 
www.x-privat.org


Io ho provato su un mio sito che sto facendo in locale...e da me funziona,
almeno vedo il lucchettino...Questo significa che č tutto ok no?


 tutto ok no? 
in teoria si ... curiosità, che server http usi? su quale piattaforma?
da hi hai avuto i certificati? oppure usi del self-signed?



Io ho installato un tools che insieme mette php, mysql, apache 2 già
configurati, nn so come sn combinati i certificati, nemmeno so a che
servono....anzi a che ci sei me lo puoi spiegare? Io ho bisogno di
proteggere sta pagina, così lo posso fare?


 proteggere sta pagina, così lo posso fare?
azzz , quale diabolica creatura hai partorito sul picci? :(((( Ti 
rimando a qualche link, dai quali puoi capire a cosa servono i 
certificati:
http://www.verisign.com/
http://www.openssl.org
http://www.apache-ssl.org


 --
Grazie! Ho dato un'okkiata...be..mi sembra una cosa a pagamento qualsiasi
cosa sia.....mi sembrava più facile crittografare una pagina html..qui in
locale mi dice che il certificato è scaduto...poi clicco su si e mi compare
il lucchetto...bo????


 scaduto...poi clicco su si e mi compare il lucchetto...bo????
puoi creare dei certificati self-signed on open ssl in modo gratuito.
Sappi che però i browser in questo caso domanderanno ogni volta la 
veridicità del certificato (una scocciatura insomma)


 veridicità del certificato (una scocciatura insomma)
Una scocciatura? Cazzo, allora perche' crittografare?
HappyCactus squote la testa e se ne va borbottando....
-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com

già funziona?
Il punto di forza di HTTPS, pero', non e' questo. Il punto di forza e'
l'autenticazione, soprattutto lato server, volendo anche lato client. 
Pensa ad uno scenario del genere:
qualcuno, magari avvelenando le cache ARP o DNS (sicuramente meno
difficile che intercettare la connessione http dove viaggiano le
password in chiaro), riesce a dirottare il traffico diretto verso il
tuo server verso un fantoccio che si presenta tale e quale al tuo, con
l'unico scopo di catturare le password. 
In questo caso il tuo https non serve assolutamente a nulla. 
Discorso diverso se https lo usi per fare autenticazione, almeno lato
server. Quando ti connetti col client, visualizzando il certificato
del server (emesso da una CA affidabile) allora SI che sei sicuro di
chi ci sta' dall'altra parte (il tuo vero server e non il fantoccio) e
dell'impossibilita' di effettuare un man-in-the-middle
Ciao
 Max

 il browser si inquieta e ti domanda se dare trust alla CA non nota
Happy sarebbe meglio che non scuotasse sempre la testa e cha magari 
provasse ad installarsi un self-signed e vedere come se la prendono 
male IE e Mozilla ad esempio ( ma presumo tutti i browser )


 HappyCactus squote la testa e se ne va borbottando....
rileggi bene il post, ho idea che non hai capito.


 il browser si inquieta e ti domanda se dare trust alla CA non nota.
E mi pare anche molto giusto che sia cosi'.
Non puoi confidare nell'autenticita' di un certificato self signed, per
il semplice fatto che potrebbe essere contraffatto. un MiM e'
notevolmente piu' difficile se esiste un terzo certificatore di fiducia
che garantisce l'autenticita' del certificato.
Il browser, giustamente, si inquieta se deve riporre fiducia
nell'interlocutore e non vi e' un terzo che garantisce. Ma mi
inquieterei anche io!


 male IE e Mozilla ad esempio ( ma presumo tutti i browser )
E' giusto sia cosi'. Del resto che fiducia puoi dare in un interlocutore
che garantisce per l'autenticita' di se stesso? E se vi fosse un attacco
MiM in corso, come te ne accorgi con un self signed? Non bisogna
scindere la crittografia dall'autenticazione, in questi casi.
HappyCactus e scusate lo strafalcione di prima (scuotere, non squotere!
argh!)


 male IE e Mozilla ad esempio ( ma presumo tutti i browser )
I browser si incazzano se:
1) non si fidano dell'autorita' di certificazione;
2) non c'e' corrispondenza tra il nome host nella richiesta (http in
   questo caso) e quello nel certificato;
3) il certificato e' scaduto.
2 e 3 non hanno attinenza con il fatto che il certificato sia o meno
selfsigned. Per quanto riguarda 1 il problema sussiste per qualsiasi
certifcato emesso da un'autorita' non riconosciuta. Qualsiasi sia la
certification authority, se il suo certificato non e' tra quelli che
sono preinstallati col browser, questo deve essere installato a cura
dell'utente. E' evidente come non esista una certification authority
nel caso d'un selfsigned e, quindi, se non vuoi il warning devi solo
inserire il certificato stesso tra quelli fidati. Un cert selfsigned
non gestito in questo modo (cioe' senza che l'utente lo installi tra
i certificati fidati) IMHO e' un po' una fesseria, a meno che l'user
non ne controlli il fingerprint ad ogni uso (ah ah ah...). 
Fabio

 squotere! argh!)
ormai ti ho contagiato :)


 certificati firmati da trusted and well-known authorities".
e tu avevi intepretato giustamente. Happy non ha interpretato in modo 
esatto.


 certificati firmati da trusted and well-known authorities".
Certo: infatti io avevo sottolineato che piu' che una "scocciatura", e'
una vulnerabilita' di chi emette il certificato autofirmato e di chi lo
accetta senza controllare il fingerprint (ma come potrebbe?)
Che poi sia meglio usare autorita' ben conosciute e fidate, non c'e'
dubbio.


 ormai ti ho contagiato :)
La cosa mi preoccupa, infatti :/


 La cosa mi preoccupa, infatti :/
io mi preoccuperei più di altre tue amicizie .. (TH)
