-
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 08:45:00.0 alle 2009-04-20 08:45:00.0
-
-
Re: Autenticazione web☺
- Scritto da: Rin Kobayashi
>
> - Scritto da: achille97
> > Mettiamo di volere un meccanismo di
> > autenticazione, dove la necessità è quella di
> non
> > far viaggiare user e pass in chiaro, c'è già
> > qualcosa java
> > based?
>
> HTTPS. Il supporto è da parte del server WEB
> quindi per te dovrebbe essere del tutto
> trasparente.
>
> In alternativa puoi usare un meccanismo a chiave
> pubblica/privata: il server da la chiave pubblica
> al client, il client chippa i dati con quella
> chiave pubblica e li manda al server. Ma visto
> che c'è già
> HTTPS...
E lo scambio di chiavi per https come funziona?
E' sicuro? E' hackerabile?
qua non è chiaro:http://it.wikipedia.org/wiki/HTTPS
e qua ancora meno: http://www.ietf.org/rfc/rfc2818.txt
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 10:04:00.0 alle 2009-04-20 10:04:00.0
- Scritto da: achille97
>
> - Scritto da: Rin Kobayashi
> >
> > - Scritto da: achille97
> > > Mettiamo di volere un meccanismo di
> > > autenticazione, dove la necessità è quella di
> > non
> > > far viaggiare user e pass in chiaro, c'è già
> > > qualcosa java
> > > based?
> >
> > HTTPS. Il supporto è da parte del server WEB
> > quindi per te dovrebbe essere del tutto
> > trasparente.
> >
> > In alternativa puoi usare un meccanismo a chiave
> > pubblica/privata: il server da la chiave
> pubblica
> > al client, il client chippa i dati con quella
> > chiave pubblica e li manda al server. Ma visto
> > che c'è già
> > HTTPS...
>
> E lo scambio di chiavi per https come funziona?
> E' sicuro? E' hackerabile?
> qua non è chiaro:
>
> e qua ancora meno:
> http://www.ietf.org/rfc/rfc2818.txt
https significa http over ssl, hai voglia che sia acherabile dagli acari del piccì.-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 10:06:00.0 alle 2009-04-20 10:06:00.0
- Scritto da:
>
> - Scritto da: achille97
> >
> > - Scritto da: Rin Kobayashi
> > >
> > > - Scritto da: achille97
> > > > Mettiamo di volere un meccanismo di
> > > > autenticazione, dove la necessità è quella
> di
> > > non
> > > > far viaggiare user e pass in chiaro, c'è già
> > > > qualcosa java
> > > > based?
> > >
> > > HTTPS. Il supporto è da parte del server WEB
> > > quindi per te dovrebbe essere del tutto
> > > trasparente.
> > >
> > > In alternativa puoi usare un meccanismo a
> chiave
> > > pubblica/privata: il server da la chiave
> > pubblica
> > > al client, il client chippa i dati con quella
> > > chiave pubblica e li manda al server. Ma visto
> > > che c'è già
> > > HTTPS...
> >
> > E lo scambio di chiavi per https come funziona?
> > E' sicuro? E' hackerabile?
> > qua non è chiaro:
> >
> > e qua ancora meno:
> > http://www.ietf.org/rfc/rfc2818.txt
>
> https significa http over ssl, hai voglia che sia
> acherabile dagli acari del
> piccì.
Nel caso di tsl devi leggere la specifica di codesto http://tools.ietf.org/html/rfc5246
Comunque normalmente mi sembra si usi SSL, almeno con apacchio.
-
-
-
-
-
Re: Autenticazione web☺
- Scritto da: Rin Kobayashi
>
> - Scritto da: achille97
> >
> > - Scritto da: Rin Kobayashi
> > >
> > > - Scritto da: achille97
> > > >
> > > > - Scritto da: Rin Kobayashi
> > > > >
> > > > > - Scritto da: achille97
> > > > > > Mettiamo di volere un meccanismo di
> > > > > > autenticazione, dove la necessità è
> quella
> > > di
> > > > > non
> > > > > > far viaggiare user e pass in chiaro, c'è
> > già
> > > > > > qualcosa java
> > > > > > based?
> > > > >
> > > > > HTTPS. Il supporto è da parte del server
> WEB
> > > > > quindi per te dovrebbe essere del tutto
> > > > > trasparente.
> > > > >
> > > > > In alternativa puoi usare un meccanismo a
> > > chiave
> > > > > pubblica/privata: il server da la chiave
> > > > pubblica
> > > > > al client, il client chippa i dati con
> > quella
> > > > > chiave pubblica e li manda al server. Ma
> > visto
> > > > > che c'è già
> > > > > HTTPS...
> > > >
> > > > E lo scambio di chiavi per https come
> > funziona?
> > >
> > > Attraverso certificato (chiave
> pubblica/privata)
> > > ma si arrangia il server web e il browser, tu
> > > programmatore della pagina nemmeno lo dovresti
> > > vedere.
> > >
> > > > E' sicuro?
> > >
> > > HTTPS lo usa la tua banca quando ti lascia
> > > entrare nel tuo conto online... vedi un po'
> > > tu...
> > >
> > > > E' hackerabile?
> > >
> > > Un Man In The Middle è possibile, ma te ne
> > > accorgi perché il certificato non è più
> firmato
> > > dal proprietario (ovviamente devi andare a
> > > guardarci e non lo fa mai nessuno). Se però il
> > > certificato è firmato da una di quelle società
> > > che firmano i certificati (tipo VeriSign)
> allora
> > > l'indirizzo compare verde in firefox quindi
> sai
> > > che vai sul
> > > sicuro.
> > >
> > > Altri tipi di hack sono molto improbabili.
> > > Rompere il meccanismo chiave pubblica/privata
> è
> > > fuori discussione fino all'arrivo dei
> > > quantum-computer, sempre che siano davvero
> > > fattibili.
> >
> > <gattoSelvaggioMode>
> > Si, ma il mio datore di lavoro può risalire a
> > 'quello che scrivo nel form' visto che uso il
> suo
> > proxy ( e ipotizzo che sia il proxy a
> connettersi
> > per
> > me)?
> > </gattoSelvaggioMode>
>
> No, il proxy (se supporta HTTPS) dovrebbe
> limitarsi a trasmettere i dati cifrati dal tuo
> browser al server. Altrimenti lo scopri perché il
> certificato che ti da non è quello del server a
> cui ti stai connettendo, ma uno suo (farebbe un
> Man In The
> Middle).
Fai questa prova:https://www.google.com/accounts/ServiceLogin?servi...
Controlla che ti dia l'indirizzo in verde e che il certificato appartenga a google.com e dovrebbe essere firmato da Thawte Consulting (Pty) Ltd.
-
Re: Autenticazione web☺- Scritto da: Rin Kobayashi
>
> - Scritto da: Rin Kobayashi
> >
> > - Scritto da: achille97
> > >
> > > - Scritto da: Rin Kobayashi
> > > >
> > > > - Scritto da: achille97
> > > > >
> > > > > - Scritto da: Rin Kobayashi
> > > > > >
> > > > > > - Scritto da: achille97
> > > > > > > Mettiamo di volere un meccanismo di
> > > > > > > autenticazione, dove la necessità è
> > quella
> > > > di
> > > > > > non
> > > > > > > far viaggiare user e pass in chiaro,
> c'è
> > > già
> > > > > > > qualcosa java
> > > > > > > based?
> > > > > >
> > > > > > HTTPS. Il supporto è da parte del server
> > WEB
> > > > > > quindi per te dovrebbe essere del tutto
> > > > > > trasparente.
> > > > > >
> > > > > > In alternativa puoi usare un meccanismo
> a
> > > > chiave
> > > > > > pubblica/privata: il server da la chiave
> > > > > pubblica
> > > > > > al client, il client chippa i dati con
> > > quella
> > > > > > chiave pubblica e li manda al server. Ma
> > > visto
> > > > > > che c'è già
> > > > > > HTTPS...
> > > > >
> > > > > E lo scambio di chiavi per https come
> > > funziona?
> > > >
> > > > Attraverso certificato (chiave
> > pubblica/privata)
> > > > ma si arrangia il server web e il browser,
> tu
> > > > programmatore della pagina nemmeno lo
> dovresti
> > > > vedere.
> > > >
> > > > > E' sicuro?
> > > >
> > > > HTTPS lo usa la tua banca quando ti lascia
> > > > entrare nel tuo conto online... vedi un po'
> > > > tu...
> > > >
> > > > > E' hackerabile?
> > > >
> > > > Un Man In The Middle è possibile, ma te ne
> > > > accorgi perché il certificato non è più
> > firmato
> > > > dal proprietario (ovviamente devi andare a
> > > > guardarci e non lo fa mai nessuno). Se però
> il
> > > > certificato è firmato da una di quelle
> società
> > > > che firmano i certificati (tipo VeriSign)
> > allora
> > > > l'indirizzo compare verde in firefox quindi
> > sai
> > > > che vai sul
> > > > sicuro.
> > > >
> > > > Altri tipi di hack sono molto improbabili.
> > > > Rompere il meccanismo chiave
> pubblica/privata
> > è
> > > > fuori discussione fino all'arrivo dei
> > > > quantum-computer, sempre che siano davvero
> > > > fattibili.
> > >
> > > <gattoSelvaggioMode>
> > > Si, ma il mio datore di lavoro può risalire a
> > > 'quello che scrivo nel form' visto che uso il
> > suo
> > > proxy ( e ipotizzo che sia il proxy a
> > connettersi
> > > per
> > > me)?
> > > </gattoSelvaggioMode>
> >
> > No, il proxy (se supporta HTTPS) dovrebbe
> > limitarsi a trasmettere i dati cifrati dal tuo
> > browser al server. Altrimenti lo scopri perché
> il
> > certificato che ti da non è quello del server a
> > cui ti stai connettendo, ma uno suo (farebbe un
> > Man In The
> > Middle).
>
> Fai questa prova:
>
>
> Controlla che ti dia l'indirizzo in verde e che
> il certificato appartenga a google.com e dovrebbe
> essere firmato da Thawte Consulting (Pty)
> Ltd.
>
Il certificato lo da, indirizzo in verde no (ff temizzato
, è in blu 
). Quello che mi preoccupava era il poter risalire ai dati, ma se ci si può fidare, allora mi fido.
-
-
-
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 12:52:00.0 alle 2009-04-20 12:52:00.0> Se però il
> certificato è firmato da una di quelle società
Problema. Sti cazzo di certificati sono una roba che si paga.
-
-
-
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 10:11:00.0 alle 2009-04-20 10:11:00.0
-
Re: semplicie☺
- Scritto da: !anonimo!
> - Scritto da: achille97
> > Mettiamo di volere un meccanismo di
> > autenticazione, dove la necessità è quella di
> non
> > far viaggiare user e pass in chiaro, c'è già
> > qualcosa java
> > based?
> >
> > Volendo fare da me, sarebbe sufficiente usare un
> > algoritmo aes javascript per criptare user e
> pass
> > con una chiave digitata dall'utente, diciamo una
> > seconda password concordata (scelta in
> > registrazione, assegnata
> > etc..)?
>
>
>
> è abbastanza semplice, basta usare il "salt":
>
> alla richiesta della pagina di login, il server
> genera una stringa pseudo casuale $salt che si
> schiaffa in una $SESSION e la putta sulla pagina
> di
> login:
>
>[input hidden]$salt[/input] > [input]username[/input] > [input]password[/input]
> più un codicillo js per calcolare l'md5 oppure
> sha2 (molto
> meglio)
>
> quando l'utonto inserisce nome e pass e preme
> invio, lo scriptino js
> calcola:
> md5(password+$salt)
> e la invia al server.
>
> il server a quel punto confronta con il $salt che
> s'era memorizzato in $SESSION il risultato
> dell'md5:
>
>if( md5($passfromdb+$SESSION[salt])==$GET > ){do_something();}else{echo'Briccone, errasti la > passuord!';}
>
> in questo modo non viene spedito nulla in chiaro
> ma solo un hash che cambia ogni
> volta.
> chiaro?
>
> spero di si, nel caso non lo fosse è colpa mia
> che oggi sono più dormiente che
> sveglio.
> btw chiedi a google oppure guarda qui
> http://www.pixel2life.com/publish/tutorials/118/un
>
> cya
>
>
> ps: il mio Agente mi ricorda che è più sicuro
> usare md5 e salt
> concatenati
>md5(md5(password+$salt)+$salt) > md5(md5(password+$salt)+$salt+md5($salt)) >
> etc...
wakko dice che https è la soluzione a tutti i mali del mondo. gli credo?-
Re: semplicie☺
- Scritto da: achille97
>
> - Scritto da: !anonimo!
> > - Scritto da: achille97
> > > Mettiamo di volere un meccanismo di
> > > autenticazione, dove la necessità è quella di
> > non
> > > far viaggiare user e pass in chiaro, c'è già
> > > qualcosa java
> > > based?
> > >
> > > Volendo fare da me, sarebbe sufficiente usare
> un
> > > algoritmo aes javascript per criptare user e
> > pass
> > > con una chiave digitata dall'utente, diciamo
> una
> > > seconda password concordata (scelta in
> > > registrazione, assegnata
> > > etc..)?
> >
> >
> >
> > è abbastanza semplice, basta usare il "salt":
> >
> > alla richiesta della pagina di login, il server
> > genera una stringa pseudo casuale $salt che si
> > schiaffa in una $SESSION e la putta sulla pagina
> > di
> > login:
> >
> >[input hidden]$salt[/input] > > [input]username[/input] > > [input]password[/input]
> > più un codicillo js per calcolare l'md5 oppure
> > sha2 (molto
> > meglio)
> >
> > quando l'utonto inserisce nome e pass e preme
> > invio, lo scriptino js
> > calcola:
> > md5(password+$salt)
> > e la invia al server.
> >
> > il server a quel punto confronta con il $salt
> che
> > s'era memorizzato in $SESSION il risultato
> > dell'md5:
> >
> >if( md5($passfromdb+$SESSION[salt])==$GET > > ){do_something();}else{echo'Briccone, errasti la > > passuord!';}
> >
> > in questo modo non viene spedito nulla in chiaro
> > ma solo un hash che cambia ogni
> > volta.
> > chiaro?
> >
> > spero di si, nel caso non lo fosse è colpa mia
> > che oggi sono più dormiente che
> > sveglio.
> > btw chiedi a google oppure guarda qui
> >
> http://www.pixel2life.com/publish/tutorials/118/un
> >
> > cya
> >
> >
> > ps: il mio Agente mi ricorda che è più sicuro
> > usare md5 e salt
> > concatenati
> >md5(md5(password+$salt)+$salt) > > md5(md5(password+$salt)+$salt+md5($salt)) > >
> > etc...
>
> wakko dice che https è la soluzione a tutti i
> mali del mondo. gli
> credo?
se hai la possibilità di usarlo, forse è più sicuro.
diciamo che in una ipotetica scala da 1 a 10 di siQurezza, $salt sta a 1 e https sta a 2.
la cosa migliore, se applicabile, è sicuramente https+salt
-
Re: semplicieScritto daNon Autenticatoil 2009-04-20 11:32:00.0 alle 2009-04-20 11:32:00.0
> wakko dice che https è la soluzione a tutti i
> mali del mondo. gli
> credo?
di certo non ha curato la sua gaiezza pedona
-
Re: semplicie☺
- Scritto da:
>
> > wakko dice che https è la soluzione a tutti i
> > mali del mondo. gli
> > credo?
>
> di certo non ha curato la sua gaiezza pedona
>
Per quello ci vuole un tunnel ssh.(cit. gs)-
Re: semplicieScritto daNon Autenticatoil 2009-04-20 12:49:00.0 alle 2009-04-20 12:49:00.0> > di certo non ha curato la sua gaiezza pedona
> >
>
> Per quello ci vuole un tunnel ssh.(cit. gs)
ssh!
-
-
-
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 12:45:00.0 alle 2009-04-20 12:45:00.0
-
Re: Autenticazione web☺
- Scritto da:
> > algoritmo aes javascript
>
> Ma funzionano?
Si.
http://www.movable-type.co.uk/scripts/aes.html
-
Re: Autenticazione webScritto daNon Autenticatoil 2009-04-20 13:06:00.0 alle 2009-04-20 13:06:00.0> > > algoritmo aes javascript
> >
> > Ma funzionano?
>
> Si.
> http://www.movable-type.co.uk/scripts/aes.html
>
Dimostralo.
Io ero rimasto ai tempi della discussione con l'autore di uno script DES. Gli avevo mostrato che non funzionava perché la funzione Javascript che converte un carattere in un codice non usa il codice ASCII esteso - numeri da 0 a 255 - ma il codice Unicode. Perciò esistono intere serie di numeri che non sono convertiti correttamente.
C'è una discussione qui:
http://www.tero.co.uk/des/encoding.php
(sono commosso, ci sono pure le funzioni C2E ed E2C che avevo scritto!)
Stando a un rapido test, sembra però funzionare, quindi potrebbe aver risolto o aggirato il problema:
http://www.tero.co.uk/des/test.php
Uffa, adesso mi toccherebbe leggere tutto per vedere come ha fatto.
-
-
-
Forum libero
Niente moderazione, niente censura. Registrazione non richiesta.non dire gatto se non ce l'hai nel sacco
-
Tutto il forum — Thread Autenticazione web
-
- Discussioni: Cronologia Nuove (Per utente) Ultime
- |
- Nuovo messaggio
- |
- Sondaggi
- |
- Inserisci fake ad
- Notizie: Cronologia Nuove (Per utente) Ultime
- |
- Nuova notizia
»
«
The Troll's Digest
Visualizzazione Mobile
Tags
Mostra notizie nelle discussioni
The Troll's Digest
Visualizzazione Mobile
Tags
- Forum dei Troll / Tutto
- Forum dei Troll / Principale
- Proc di Catania
- Politica
- News
- Forum Deserto
- Musica
- Sesso
- _______________
- Cinema
- Verdurin
- FreeBan
- Richieste Forum
- Cenere
- God? No, thanks
- Rep.Psichiatria
- Sondaggi trolleschi
- Buco del culo
- Bollettino bot
- Forum Inutile
- Ultraviolenza!!
- Frasi celebri
- IL FORUM DI PI
- Forum svizzero
- L'Amore
- Cimitero
- Commissariato
- dei Fuorilegge
- Aviazione
- The Troll's Lair...
- Denunce
- Informatica
- dei Troll Giust
- addio...
- PI pro e contro
- Virgolette
- Pi Flame
- Staz Luino
- Boiate su PI
- Amici dei Criceti Giganti
- Arte&CULtura
- Icspi & Friends
- Bollettino
- Prostituzione
- Filosofia
- L'angolo della CaritÃ
- Sa Limba
- 11 settembre
- Programmazione
- Admin
- W la redazione
- ROTFL
- FAKE-FORUM
- Trollar rimando
- Forum Di Destra
- La Sacra Loggia dei Topocani
- Scienza&Tecnica
- Frecciette
- Fight club
- Forum di sx
- Videogiochi
- Turismo
- Predator
- Camionari & co.
- Privacy IT
- Commenti alle news di PI
- Hacking