Newsgroup: it.comp.java
Titolo: applet con password cifrata..

Salve,
starei cercando un algoritmo che mi cifri un password che l'amministratore
di un sito deve inserire in un applet,
avete qualche idea?
Grazie ,Luca
fas...@csr.unibo.it

 wrote in message
7svm5a$jmm$1...@news.cineca.it...


 avete qualche idea?
Molto meglio se metti l'algoritmo sul server (con dei servlet).
Francesco
--
* * * * * * * * * * * * * * * * * * * * * * * * * * *
   De Milato Francesco - Ph.D. Student
   ESNG - Electronic Systems & Networking Group
   University of Genoa - DIBE
   via All'Opera Pia 11/a, I-16145 Genoa (Italy)
   phone/fax: 
+39-010-353-2271
/2175
 
demi...@dibe.unige.it
* * * * * * * * * * * * * * * * * * * * * * * * * * *


Non e' corretto: se conosce l'algoritmo sa con quale algoritmo hai cifrato il
tutto E BASTA.
Supponiamo che scopra che hai usato il DES. Questo usa una chiave a 56 bit, che
per inciso NON vuol dire 7 bytes, bensi vuol dire 8 bytes dei quali scarico un
bit che serve all'algoritmo per la parita'.
Comunque, ci sono 2^(56) possibili chiavi da usare con quell'algoritmo.
Il logaritmo in base 2 di 10 e' circa 3.3; 56/3.3 ~= 17. Il che vuol dire, circa
10^(17) possibili chiavi da provare.
Cioe' 100 milioni di miliardi di chiavi fra le quali cercare. Magari con un po'
di forza bruta ce la si fa... basta avere tempo.
Comunque, diciamo che se uno sa quale algoritmo stai usando e ha una buona
cultura sui metodi e le euristiche di crittografia un certo aiuto lo puo'
ottenere, anche sostanzioso, direi.
Magari puo' andare bene un sistema di Challange-Response per risolvere il
problema.
Mi spiego, uno ha il problema di criptare la password perche' se questa viaggia
in chiaro puo' essere intercettata e scoperta. allora basta NON FARLA VIAGGIARE.
Il sistema ( o meglio, un sistema) Challange-response puo' funzionare cosi': Il
server ha l'elenco degli userID/Password. Allora l'applet invia solo la user ID.
Il server inventa una chiave di sessione, che quindi sara' di volta in volta
diversa. Cripta la chiave di sessione con la password corrispondente alla user ID
inviata.
Il client riceve sto coso e lo decripta con la password. Ha quindi ottenuto un
servizio che puo' essere fornito solo da chi conosce la password, e senza che la
password abbia viaggiato sulla rete.
In seguito puo' iniziare il vero meccanismo di Challange-Response. Il client
manda un 'token' al server, criptandolo con la chiave di sessione creata dal
server. Il server decripta e ottiene il 'token', sul quale calcola una funzione
nota al client e al server. Invia il risultato al client criptandolo con la
chiave di sessione. Il client riapplica sul token che ha inviato la stessa
funzione e verifica che i due risultati coincidano. a quel punto ha una Piu' che
ragionevole sicurezza che chi gli parla e' il server. A questo punto e' lui che
rielabora il messaggio del server con un'altra funzione nota a entrambi e invia
il risultato al server, sempre criptato con la chiave di sessione. Il server fa
la stessa cosa che aveva fatto l'applet e verifica se il risultato ottenuto da
lui coincide con quello che gli ha inviato l'applet. se le cose coincidono allora
ha una piu' che ragionevole sicurezza che il client sia chi dice di essere.
Spero di essere stato utile e mi scuso per la lettera logorroica.
Carlo Emauele Demontis
PS: gli algoritmi, almeno il DES e il SHA NON SONO protetti da segreto militare.
Saranno anche ststi  brevettati ma il sorgente e' ormai pubblico.


 Saranno anche ststi  brevettati ma il sorgente e' ormai pubblico.
Vi ringrazio per le notevoli informazioni fornite,vorrei quindi specificare
altre cose:
- alla pagina da proteggere deve avere accesso solo l'amministratore,quindi
niente user-id e passwd, ma solo una passwd per l'unico utente
(l'amministratore stesso)
- Il tutto deve essere di carattere universitario(e' solo per la
tesi),quindi non deve essere realmente messo sul mercato...
- se uno conosce l'indirizzo http dove la pagina con la passwd ti deve
mandare, ovviamente non ci può accedere direttamente,quindi bisogna
controllare che sia passato dalla password e che sia quindi autorizzato.Io
dovrei basarmi su un server NT,anche se per ora lavoro con Borland Web
Server su W95.
Sperando di essere stato chiaro,vi saluto e vi ringrazio per le eventuali
risposte aggiuntive


Questo perche' non sono ritenuti abbastanza forti quanto altri, protetti da segreto
militare (RSA).


 risposte aggiuntive
Spero di non essere stato troppo sbrigativo, ma potrebbe essere un'idea da cui
partire per fare un po' di ricerche.
In bocca al lupo per la tesi.
Francesco
--
* * * * * * * * * * * * * * * * * * * * * * * * * * *
   De Milato Francesco - Ph.D. Student
   ESNG - Electronic Systems & Networking Group
   University of Genoa - DIBE
   via All'Opera Pia 11/a, I-16145 Genoa (Italy)
   phone/fax: 
+39-010-353-2271
/2175
   E-mail: 
demi...@dibe.unige.it
