Newsgroup: it.comp.www.asp
Titolo: sicurezza, qualche buon manuale?

ho un sito certificato sicuro.  voglio chiedere dati sensibili (carta
di credito ecc.) agli utenti.  come conoscenze parto da zero (anche se
non sono del tutto sprovveduto) ma me ne devo occupare io per motivi
lunghi da spiegare.
chi mi consiglia manuali, link ecc.?  utilizzerò asp (ovviamente),
iis5, per il momento access, in seguito sql-server.
--
non studio non lavoro non guardo la tv
non vado al cinema non faccio sport

E' una parola! Comincia con il decidere se ti servono notizie legali (es:
quali norme rispettare per non essere fuori legge) o tecnico pratiche. Ma
comunque la cosa la vedo ardua, la sicurezza e' un work in progress ed e'
uno deggli aspetti piu' complessi ed omnicomprensivi da gestire. Per una
macchina NT direi che un buon punto di inizio e la security check list che
trovi sul sito MS ed il lavoro di tesi/tesina di uno studente del
politecnico di Torino che trovai in rete qualche tempo fa, rovisto nei miei
byte di archivio e ti appendo il link appena posso.
Ciao, Fabio Zed

quali norme rispettare per non essere fuori legge) o tecnico pratiche. Ma
mah, direi la seconda che hai detto.  tanto per essere più specifici
devo occuparmi di scrivere dati sensibili su un server sicuro
certificato ssl in seguito ad acquisti fatti su un sito non sicuro...



Moderatore di it.comp.www.asp
Sito di supporto: 
http://www.aspitalia.com/newsgroup/icwa.asp
Tutto su WindowsNT? Su 
http://www.aspitalia.com
Professional WAP, per te su 
http://www.aspitalia.com/store/
Impara l'e-conomy su 
http://www.e-conomy.it

vedo dove stia il problema....
ti ringrazio della spiegazione, il problema è che per motivi
complicati da spiegare di punto in bianco mi trovo catapultato a
dovermi occupare di una cosa di cui so poco e di cui sto provando a
capire qualcosa da un paio di giorni...
in particolare l'installazione del certificato non l'ho fatta io,
quindi quello che mi dici ancora non mi è chiaro al 100%, anche se è
già un passo avanti.
vediamo poi se ho capito bene: la "certificazione" indica soltanto:
1. che il sito cui comunico la mia carta di credito è veramente chi
dice di essere;
2. che dal mio browser al sito certificato i dati che trasmettono
viaggiano cifrati;
mentre la certificazione *non* ha niente a che vedere con le policy di
sicurezza sul server, cioè, una volta che la mia carta di credito è
arrivata sul sito ed immagazzinata in un db sta poi all'amministratore
del server (e a chi ha realizzato quel db) fare in modo che resista ad
attacchi vari, con procedure di saggia ed ordinaria amministrazione,
no?
comunque, ti sarei veramente grato se mi potessi consigliare qualcosa
di cartaceo...  ho gli occhi gonfi a forza di leggere cose on-line...


 mentre la certificazione *non* ha niente a che vedere con le policy di
........
Almeno per ora no. Se poi cominciamo a complicare un poco il discorso,
allontanandoci da un approccio application ed avvicinandoci ad un utilizzo
dei certificati per convalidare autenticazioni e protezioni al livello rete
il discorso cambia. Ma questo non e' il tuo caso. Ignora questa mia
puntualizzazione che rischia solo di confonderti.
Ancora non mi e' chiaro di cosa necessiti pero': link ad info su SSL ed suo
utilizzo per proteggere pagine o link a come tenere al sicuro i dati sul
server? Come mi sembra ti sia chiaro le due cose sono completamente diverse.
Ciao, Fabio Zed Zamparelli

 writes:
Ldc> mentre la certificazione *non* ha niente a che vedere con le policy di
Ldc> sicurezza sul server,
Ovvero come evitare che i dati arrivino alla gente sbagliata. E' la parte
più difficile ed è quasi un lavoro quotidiano. 
Ldc> comunque, ti sarei veramente grato se mi potessi consigliare qualcosa
Ldc> di cartaceo...  ho gli occhi gonfi a forza di leggere cose on-line...
Purtroppo la miglior cosa che posso consigliarti è on-line. La mailing
list bugtraq se non la hai mai presa.
E poi aiuta molto "pensare male". Pensare con la testa di un intrusore
ti può  portare subito a  "drizzare le antenne" quando  qualcosa suona
male.
+----------------------------------------------------------------+
| Gian Uberto Lauri * "So, are you working on fixing that bug    |
| 
sa...@eng.it
      *  *now* or leaving it until later ?" - YES  |
+----------------------------------------------------------------+
| Attenzione: rispondo ad ogni invio di pubblicità non richiesta | 
| o spam di qualsiasi altro genere con un messaggio al provider  |
| di competenza. Ai sensi della legge sulla privacy NON avete il |
| permesso di utilizzare i miei dati per questi scopi.           |
+----------------------------------------------------------------+

server? Come mi sembra ti sia chiaro le due cose sono completamente diverse.
diciamola così: per il momento alla mia committenza interessa solo che
i dati *viaggino* sicuri (e come far questo lo sto cominciando a
studiare adesso).  
purtroppo il problema che, dopo aver viaggiato, questi dati vadano a
riposarsi su un file dentro un server sottoponibile ad attacchi non
viene percepito come critico.  forse è un loro eccesso di fiducia nei
miei confronti...
sostanzialmente mi devo porre tutti e due i problemi, il secondo in
subordine in quanto non sono io l'amministratore del server e posso
sempre fare a scaricabarile e dire "ve l'avevo detto", ma insomma, non
è serio... :-)
--
non studio non lavoro non guardo la tv


 miei confronti...
già, in effetti secondo me la soluzione migliore è o farsi mandare una mail
firmata con PGP, e cancellare ogni altro dato sensibile dal server, o
configurare per benino il server web stesso.
purtroppo, non è così semplice come gestire dati non sensibili :-|
qui più che script, serve proprio una gestione perfetta del server. e mica è
facile, sai... :-(


> studiare adesso).
DB> ti basta SSL con un certicato... :-)
Scusa una domanda :
	SSL regge anche nel caso che qualcuno si frapponga tra
	utente e server compromettendo dei router ?
	Quanti bit di criptazione consente SSL (per i non statunitensi) ?
DB> già, in effetti secondo me la soluzione migliore è o farsi mandare una mail
DB> firmata con PGP,
Conviene a tal punto il GPG (versione GNU) sviluppata intenzionalmente 
in europa per aggirare la legge americana sull'esportazione delle armi...
DB> e cancellare ogni altro dato sensibile dal server, o
DB> configurare per benino il server web stesso.
Ricordo che tanti anni fa  un'indicazione del dominio .mil era "niente
dati sensibili  in internet"  (Vedi rapporto Stoll(?)).  Sapevano bene
quanto è insicura Internet...



Moderatore di it.comp.www.asp
Sito di supporto: 
http://www.aspitalia.com/newsgroup/
Tutto su WindowsNT? Su 
http://www.aspitalia.com
Libri ITA o ENG con sconti del 15% su 
http://store.aspitalia.com/
Tech Leader per 
http://www.e-conomy.it