Newsgroup: it.comp.lang.javascript
Titolo: Supponiamo che ...

 Spero di non essere uscito fuori tema del ng.
In questi giorni non si parla d'altro che di crittografia ecc, un argomento leggero ci voleva proprio :-))))
Ciao, Riccardo
-----------------------------------------------------------------------
http://www.bottegasanlorenzo.it
http://www.jsdir.com
Need a JavaScript password?
http://www.agora.it/Ri.Riccardi/ingresso.html
-----------------------------------------------------------------------
"Any sufficientely advanced technology is indistinguishable from magic"
Arthur Charles Clarke
-----------------------------------------------------------------------
.
.
.
.
.
 . . . . . . I Fantastici 4 stanno arrivando . . . . . .

Supponiamo che io abbia un server che protegge certi files e li renda
accessibili solo tramite alcune coppie di username e password. L'utente
tenta di accedere con username e password e supponiamo sia accettato. Allora
il mio server gli "appiccica" un cookie con dentro username e password
criptata. A questo punto finchè il cookie non scade l'utente non viene più
disturbato nella sua navigazione verso altri documenti protetti, poichè il
server può controllarlo ogni volta lo desideri.
Ma ad tratto arriva l'utente cattivissimo che decide di ingannare il mio
server, l'utente e la password non la possiede ma riesce a rubare la
merendina al collega (i cookies con dentro username e password criptata).
HA HA HA, scusate ridevo per la merendina!
Ma riuscirà il nostro eroe cattivo a spuntarla sul mio server?
domande:
Come fa a clonare il cookie sul proprio computer, o utilizzarlo sul computer
del collega ( in sua assenza ) nel caso sia più facile?
Cosa si può fare per fregare il supereroe?
Siate i più cattivi possibile, lavoro su una intranet altrimenti vi facevo
provare dirrettamente a rompere il giocattolo. Potete solo usare
l'immagginazione.
Spero di non essere uscito fuori tema del ng.
Ciao
  Cristiano

Ciao Riccardo,
sei stato abbastanza cattivo,
ma posso mai chiedere ogni volta all'utente la sua username e password nel
giro di pochi minuti?
Non me la sento proprio!
Pensavo di identificare l'utente tramite il suo IP, non può bastare?
Comunque per non rompere i coglioni a tutti, dove posso trovare
documentazione e/o discussioni relative alla sicurezza in tal senso?
Più cattivi, più cattivi!
 Cristiano

 documentazione e/o discussioni relative alla sicurezza in tal senso?
Non saprei, forse ti conviene rivolgerti a qualche professionista di sicurezza.



Comment: PGP key 
http://asp4free.ravenna2000.it/neowebsite/pubkey.asc
iQA/AwUBOUarU4yQcjk1tK2MEQIWUwCg5ofmak1j6gWD6QP7QmJ5AflcMFsAn3K/
Y2VTNf+A9cMNOgPvgB+717Q7
=cK0D
-----END PGP SIGNATURE-----

:-)
.. ma nessuno di voi ha mai provato a modificare un cookie
in locale e poi provare come se la pagina on.line lo legge?!?
--
Bye
        Ro<*¿*>berto

Salve,
chiedo venia se entro in merito...
Non ci capisco tanto di Javascript (anke se sto cerkando di impararlo!), ma
sono un sistemista su piattaforma Windows (spero che lavori su questa
piattaforma anche Cristiano) e volevo solo dare alcune info, su come lavora
un utente e come posso dare perfettamente ragione a Cristiano; gli utenti
sono completamente stupidi e dimenticano la pwd almeno una volta la
settimana e quindi ritengo giusto il fatto di appoggiarsi ad un cookie che
però essendo settato con scadenza "Thu, 01-Jan-1970 00:00:01 GMT", non
risolve il problema.
Altra cosa... in una rete locale, essendo l'indirizzo IP unico per ogni
macchina (scoperta dell'acqua bagnata!!!), ci sono 2 possibilità;
1- Assegnazione statica dell'IP e quindi una macchina ha sempre lo stesso IP
e si potrebbe effettuare il controllo su di esso,
2- Assegnazione dinamica dell'IP tramite servizio DHCP e quindi la macchina
potrebbe variare IP alla scadenza della sua lease, in questo caso il
controllo andrebbe a farsi benedire.
Restano ora ancora 2 possibilità: "Il sistema operativo della macchina".
1- Se si tratta di macchine con W9x la cartella c:\windows\cookies è
accessibile se il disco è condiviso e quindi tutti a "pippe"
2- Se si tratta di NT Workstation, non si può accedere alla cartella
c:\winnt\profiles\"nomeutente"\cookies perchè fa parte delle protezioni di
sistema, a meno che non si faccia parte del gruppo di amministratori del
dominio (che però non dovrebbero rompere...)
Ultima cosa e chiudo, perchè non dare i permessi di accesso alla cartella
solo agli utenti appartenenti al gruppo "pippo" che deve utilizzare il
contenuto della cartella stessa?
Ciao e scusate la lungaggine.
PS: Scrivo dall'ufficio e se mi beccano mi intruppano eh eh eh....
Antonio D'Andrea                
Servizio MO.R.E.N.O int.6161
fi-ad...@inpdap.it
--
Posted from [194.184.158.135] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 in locale e poi provare come se la pagina on.line lo legge?!?
No :-o
Perché non funzia?


Grazie a tutti per le interessantissime risposte,
rendo partecipi tutti gli interessati di un articolo trovato sull'argomento,
in realtà sono due ed il secondo è quello più interessante sulla sicurezza.
Parla di servlet java ma il discorso è facilmente generalizzabile.
intro sui cookie:
http://gamelan.earthweb.com/journal/techworkshop/101999_state1.html
come rendere un pò più sicuri i cookie, o magare farne a meno:
http://gamelan.earthweb.com/journal/techworkshop/102699_state2.html
Consiglio vivamente il secondo articolo, il primo è di introduzione!!
Chiunque avesse qualcosa da aggiungere ben venga.
Ciao,
  Cristiano

