Newsgroup: it.comp.www.asp
Titolo: sicurezza di session

Devo fare un sito ad accesso riservato.
E' sicuro come metodo uno schema del genere:
chiedo login e pwd le confronto con il db;
  se positivo faccio un session("ok")=1 e ogni pagina successiva prima di 
caricarsi controlla che session(ok) sia =1.
Quanto è sicuro il Session, contro possibili intrusioni?
O se no si dovrebbe fare un check di login e pwd per ogni pagina, magari 
con un cookie?
grazie
Alex

 con un cookie?
Questo peggiorerebbe la sicurezza, visto che il cookie, essendo sul 
client, può venire letto. Forse anche modificato (non con normali 
browser), questo non saprei.
Il check lo fai già in ogni pagina, con la session.
Il problema, in questi casi, sono i browser che NON supportano i 
cookie, dunque neanche le session. Un sistema come questo NON 
funzionerebbe.

 Alex
Ciao
--
AZ [Microsoft .NET MVP]

Le session di ASP, sostanzialmente, funzionano come le gestiresti tu.
1) impostano un cookie con un codice abbastanza lungo e difficile da "imbroccare"
2) salvano in locale la coppia cookie / Ip (o qualcosa di simile)
Le variabili di session restano sul server e di lì non le schiodi
Il cookie che va e viene andrebbe intercettato e camuffato.
Io so che tutti usano la tecnica che usi tu e non ho mai sentito nessuno che sollevasse delle perplessità a riguardo.
Se proprio proprio vogliamo proteggere l'invio della password, usiamo connessioni HTTPS.
Alex.
-- 
___________________________________________________________
a p bertolini
"Se Dio è perfetto, perché ha creato le funzioni discontinue?"
#ICQ: 10681264
(
www.webwarrior.org
)

grazie mille!!
Quindi, se non ho capito male, una cosa di questo tipo è corretta:
io vado sul server 
www.a.it
lui fa una session("ok")=1
vado sul server 
www.b.it
su questo server la variabile Session("ok") NON ha valore 1
grazie mille
Alex


-- 
Using M2, Opera's revolutionary e-mail client: 
http://www.opera.com/m2/

 su questo server la variabile Session("ok") NON ha valore 1
No sul server B la variabile NON esiste!
Proprio perchè è il server a memorizzarle...


La session è sicura ma la variabile session("ok")=1 dipende!!!
se passi variabili  in querystring es. ?var=1&var1=23
che corrispondono a record  precisi di database legati all'utente loggato.
Io sono un tuo utente e mi loggo e anche se controlli che sono loggato
 in tutte le pagine non mi impedisci di leggere record di altri utenti
cambiando i valori
nel querystring es. var=2 var=4 ecc....
Ciao Fausto

capito tutto
grazie molto ancora..
alex


-- 


Giusto, se vuoi diversificare tra utenti la prassi che consiglio è di eseguire sempre query di join che includano la login
dell'utente e la confrontino (clausola WHERE) con la variabile di session relativa


 Alex.
Bene! non mi ero prolungato sulle possibile soluzioni ma vedo con
piacere che oltre a pensare se una Session() è sicura, se è sicuro(mai dire
mai)
il codice che scriviamo!
A proposito anche se non centra ho visitato il tuo sito (webwarrior)!
Visto che tratto argomenti simili
hai qualche esempio da mostrarmi sull'utilizzo dei tuoi componenti tipo
"creazione e gestione di siti direttamente on-line, senza scrivere alcuna
riga di codice!"
sai questa frase può dire tutto e niente
grazie
Fausto