Newsgroup: it.comp.www.asp
Titolo: SSL e form

Non avendo mai implementato una transazione protetta, volevo sapere se è
necessario che anche la pagina contenente il form sia una pagina protetta
(
https://sito.it/paginaform.htm
) o è sufficiente che lo sia la pagina che
riceve i dati (<form action="https://...)
A parte il discorso di visualizzare o meno il luchetto ecc. se ho un form su
una pagina non https che invia i dati ad una pagina invece protetta in https
ottengo una transazione criptata? O è obbligatorio che entrambi le pagine
siano protette?
Il caso è quello comune di avere uno spazio per il login su tutte le pagine
del sito (quindi non possono essere tutte https) che invia i dati ad una
pagina di login che potrebbe essere eventualmente protetta in SSL
Grazie in anticipo
-- 
:: Massimiliano Mattei
:: Project Leader
:: E.xtranet V.irtual A.pplication


Moderatore di it.comp.www.asp - Microsoft .NET MVP
http://www.aspitalia.com/
 Enjoy the .NET community!
http://www.dev2dev.it/
 La rete ha connesso nuove particelle!
http://www.extensible.it/
 XML and beyond

[...]
ciao scusa, mi viene un dubbio.
Il sito di bancagenerali chiede utente e password su di una pagina normale
per poi inviare i dati a SSL,
vuoi dirmi che e' il caso di lamentarsi perche' la cosa e' poco sicura??
grazie
Ciao
Nev

Ho posto questa domanda proprio perchè, come tu dici NEV, ci sono diversi
casi in cui questo avviene.
Quello di bancagenerali è un esempio, il sito di bancaintesa ne è un altro.
Possibile che siti di questo calibro, dove la sicurezza è una esigenza
primaria abbiano commesso un tale errore?


 primaria abbiano commesso un tale errore?
Provate ad andare col puntatore del mouse nella zona immediatamente
adiacente ai campi di login, premete tasto destro e cliccate su proprieta':
vedrete che la pagina e' HTTPS...
Si tratta di un frame che punta al server SSL. In questa maniera il sito
pubblico "gira" stressando meno il server che non deve crittografare le
pagine mentre solo una piccola parte si aggancia al server protetto.
Logicamente, dopo il login, tutti i dati "sensibili" devono essere sotto
SSL.
Nel caso di BancaIntesa si nota proprio che viene caricato separatamente. La
stessa cosa fanno Fineco e molte altre banche/siti di trading online.
Non mi convince troppo quello di Banca Generali che effettua solo il post
verso una pagina protetta ma la welcome page e' normale HTTP...
provero' a dare una sniffata per vedere cosa parte dal mio PC...
Ciao!

 :: Massimiliano Mattei
infatti mi auguro che non sia un errore!!!
ciao
Nev

 to the idiocy (by serving the entire login page via ssl), some don't.
e questo è importante leggete bene, infatti potrebbe avvenire esattamente il
contrario. Avere cioè il form servito tramite protocollo https con tanto di
luccheto e poi invece l'invio dei dati avviene in http non criptato!:
it gives people a false sense of security.  a `secure page', one which will
show the lock symbol, can have an unprotected action url, i.e., http rather
than https, yet that symbol fakes people into thinking they are safe.  (a
few browsers will degrade their lock symbol as a result of this, which is
good, but in the general case it is not true.)  and there will likely be no
other warning, because people have, by and large, disabled the notification
of unencrypted transmission, due in large part to the insecure login pages
for everything else they use and which they are required to accept.
La discussione è molto interessante vi consiglio di leggerla... intanto è
consolante pensare che posso utilizzare il classico login "da portale"
garantendo un invio sicuro ;)


Ho fatto la prova dello sniffing su Banca Generali:
effettivamente i dati vengono postati crittografati e la prima cosa che
restituisce il server e' il certificato SSL. Dopodiche' il colloquio avviene
sempre in modalita' protetta.
Vantaggi: la welcome page e' tutta HTTP (= meno stress per il server)
Svantaggi: l'utente registrato non ha la sensazione di essere "al sicuro".
Nessun dubbio su Banca Intesa: il sito e' sicuro! (vedi mio precedente post)
Ciao

 ha scritto nel messaggio
news:N5YOb.115958$VW.47...@news3.tin.it...

Grazie mille!!!
ne sono contento =)
ciao
Nev