Newsgroup: it.comp.www.asp
Titolo: [newbie] sicurezza login cookies

premetto che sono solo agli inizi, quindi non mi trattate troppo male:
Sto realizzando un login basato sui cookie, in pratica dopo aver fatto
accesso con login e password (naturalmente faccio un controllo su db se
l'utente esiste), scrivo una stringa in un cookie che vado a testare in
ogni pagina ad accesso ristretto, quando poi l'utente fa il logout
cancello la stringa in modo che sia necessario di nuovo il login per
accedere.
Premesso questo mi chiedo: che indice di sicurezza ha un'accesso simile?
Che tipo di bug ci possono essere? etc.
Grazie a chiunque voglia aiutarmi
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Che tipo di bug ci possono essere? etc.
Che se uno ha i cookie disabilitati, non entra. 
Per le session, uguale.

 Grazie a chiunque voglia aiutarmi
prego :-)
..A
UGIdotNET - 
http://www.ugidotnet.org

 linea, o qualsiasi altra cosa?
basta creare un cookie temporaneo :P
Ciao
-- 
Kappa [co-mod ICWA]
ka...@webngo.net
www.webngo.net
www.filmscoop.it

Credo che il problema si lato DB più che altro.
Infatti come dice giustamente Andrea, se non dai scadenza al cookie questo
viene gestito in memoria e quando l'utente chiude, addio cookie.
Ma nel DB? Li dove tu memorizzi la stringa per il confronto?
Ci sono due alternative...
La più sicura è che imposti comunque un timeout. Questo puoi farlo anche
senza utilizzare le sessioni. Memorizzi nella stessa tabella dove mantieni
la stringa assegnata all'utente anche la data/ora dell'ultima pagina
visitata (ovviamente all'inizio di ogni pagina queso record va aggiornato).
E nello stesso tempo cancelli tutti i record dove questa data è più vecchia
di tot minuti.
L'altra è utilizzando cmq le session e il global.asa per far cancellare le
righe on_sessionEnd ma a quel punto tanto vale utilizzare le sessioni da
principio.
Appure potresti disabilitare le sessioni, e cancellare tutto solo quando
parte l'applicazione senza usare il global.asa
All'inizio di ogni pagina, verifichi se una Application("testvar") esiste
oppure no e subito dopo le assegni un valore.
Se non esiste significa che l'applicazione è appena iniziata e puoi
cancellare tutte le righe
Il problema in questo ultimo caso è che non so come IIS interpreta l'inizio
e la fine delle Applicazioni, se le session sono disabilitate, anzi colgo
l'occasione per chiedere a qualcuno se lo sa
Grazzzie
--
:: Fate i bravi e non clonate le pecore!
:: Distractly yours... 
man...@ufologia.net


La prima domanda che devi farti quando decidi il tipo e la protezione da
usare in un sito è qual è l'importanza hanno i dati da proteggere? E' la
personalizzazione del layout gafico delle pagine o la manipolazione di dati
*critici* come le generalità di una persona e/o carte di credito o roba
simile?
Consiglio principale: mai usare cookie a lunga scadenza; è sufficiente che
qualsiasi persona che può accedere al PC dell'utente si copi il cookie ed
entra nel tuo sito in faccia al login. Utilizza i cookie temporanei (senza
impostare la scadenza) o le session (meglio i primi che non occupano risorse
del server anche se le seconde sono un po' più sicure).
Secondo consiglio: se devi trattare i dati *critici* passa a SSL...
--
Andrea Z.