Newsgroup: it.comp.java
Titolo: Jaas recupero password

Sale a tutti, volevo chiedere chi mi puo' aiutare su una rogna che sto
incontrando.
Ho una mia webApp in cui per accedervi uso una autenticazione con
modulo jaas su Jboss, che si connette ad un server LDap per recuperare
usr e pwd. Tutto bene funziona ed entra.
Il mi problema si pone, quando all'interno devo richiamare un metodo
di una classe il quale ha bisogno che gli si passino i dati della form
di autenticazione per ogni utente diverso che si collega, in quanto
questo metodo efettua una connessione ad un server di posta per fare
il download dei messaggi.
Ora io la password la riesco a recuperare facilmente richiamando il
metodo getRemoteUser, e va bene.
MA il problema  mi si pone nel recuiperare la password.
Ho provato in vari modi, non ultimo una chiamata JNDI con lookup
all'oggetto Ralm che si connette al server LDap, ma la password mi
viene restituita criptata.
Mandando in esecuzione in Debug ho notato che creandomi un oggetto
HttpSession e recuperando i dati dal Context dell'applicazione la
stringa in chiaro della password  mi viene salvata  in principal
(Value= JBossGenericPrincipal) nella variabile credential


P.S.
scusatemi, scivendo veloce ho fatto un po di casino, con la
getRemoreUser() recupero lo username.

 viene restituita criptata.
[cut]
...e lo spero bene, altrimenti avresti un bel problema di sicurezza. Le 
password dovrebbero essere sempre conservate "criptate" (come dici 
tu...o meglio, come avviene di solito, sotto forma di hash). Nessuno 
deve essere in grado di recuperare il valore della password "in chiaro".
Il controllo non avviene "decriptando" la password memorizzata, ma 
applicando lo stesso algoritmo di hash alla password in chiaro, digitata 
dall'utente che si sta autenticando.
Lucio
-- 
Lucio Benfante
JUG Padova           
http://www.parancoe.org
 ...have a look at it!
www.jugpadova.it
 
http://www.jugevents.org

 
amedeo.difili...@gmail.com
 ha scritto:

ovvio che la password deve sempre essere criptata, nondicevo questo.
Dicevo che siccome avevo intrapreso la strada della chiamata jndi per
recuperarla mi sono trovato difronte a questo problema. E non sapendo
che algoritmo di encrypt usa LDap nello storage non so come
recuperarla in chiaro.
Quindi volevo intraprendere un altra via per recuperarla

 Quindi volevo intraprendere un altra via per recuperarla
...forse non ci siamo capiti...gli algoritmi di hash sono one-way...non 
c'è modo di recuperarla.
Lucio
-- 
Lucio Benfante


 JUG Padova          
http://www.parancoe.org.
..have a look at it!
www.jugpadova.it
 
http://www.jugevents.org
ma tu non hai capito me, o forse non sono stato chiaro.
in Debugging la password in chiaro la mette nell'oggetto session
sotto la voce "credentials= "password"" di
pricipal=JBossGenericPrincipal

 pricipal=JBossGenericPrincipal
Forse perchè è quella digitata dall'utente? (non quella estratta dall'LDAP)
-- 
Lucio Benfante


 JUG Padova          
http://www.parancoe.org.
..have a look at it!
www.jugpadova.it
 
http://www.jugevents.org
ecco io quella voglio recuperare!
solo che non so come fare

Amedeo ha scritto:

((JBossGenericPrincipal)(session.getAttribute("principal"))).getCredentials().toString()
non funziona?
-- 
Lucio Benfante


 JUG Padova          
http://www.parancoe.org.
..have a look at it!
www.jugpadova.it
 
http://www.jugevents.org
no non funziona!
P.S.
uso maven come gestore del progetto e non mi riesce a trovare nessuna
dipendenza

 solo che non so come fare
non lo puoi fare. stai perseguendo una strada senza sfondo.
jboss ovviamente non se la scrive da nessuna parte la password ed è 
abbastanza comprensibile il motivo.
fra l'altro, ti preannuncio che non è possibile nemmeno applicare filtri 
o intercettare il servlet j_security_check.
ma la domanda sorge spontanea: che te ne fai della password?
all'interno di jboss tu non devi aver bisogno di ri-autenticare 
l'utente. per applicazioni fuori dall'as esistono sistemi di sso (single 
sign on).
-- 
 Fino all'anno scorso avevo un solo difetto. Ero presuntuoso.
http://softvalley.blogspot.com
http://www.flickr.com/photos/marko_po/


la mia esigenza nasce dal fatto che una volta autenticato al sistema,
c'è un metodo che viene richiamato per la gestione dei messaggi su
server di posta elettronica.
Praticamente sto gestendo un applicativo per la protoccolazione di
documenti, ed anche email, per l'amministrazione della mia azienda.
il progetto prevede, lautenticazione al sistema tramite username e
password che sono salvate su un server Ldap aziendale, le quali sono
anche le stesse che mi permettono di scaricare le email degli utenti
dal server di posta aziendale.
Da nasce l'esigenza di recuperare username e password una volta
autenticato per passarlo al metodo che poi fa il download dei messaffi
dalla folder

On 27 Mag, 10:56, 
amedeo.difili...@gmail.com
 wrote:
grazie a chi mi ha risposto.
Cmq ho risolto, in maniera non proprio elegante, ma ho risolto

 
Beh...almeno dicci come!
-- 
Lucio Benfante
