protezione pagine web

[aLvArO]

salve a tutti
vi spiego subito il mio prob dovuto alla mia ignoranza.
avrei bisogno di limitare l'accesso ad una pagina web di un sito personale.
solitamente restringevo l'accesso all'intera directory creando un file .htaccess.
considerato che questo sito viene caricato in uno spazio gratutito che nn mi permette di creare file .htaccess e quindi questo metodo di restrizione, esiste un metodo anche + semplice per fare in modo che ki clicca sul link che porta alla pagina che io voglio proteggere chieda l'inserimento di nome utente e pass
ciao grazie

[albatros]

Con php è relativamente facile, ma disponi dell'interprete php sul tuo spazio gratuito ?

[aLvArO]

non credo comunque nn conosco bene php le pagine sono scritte in html ho sentito che c'è qualke metodo di autenticazione anche con html comunque accetto qualsiasi tipo di consiglio tnx

[ccts2002]

sarei interessato anche io...come si fa con php?

grazie

[albatros]

Beh, crei un form in html dove chiedi di inserire nome e password, dopodiché calcoli l'md5 della password e lo confronti con quello che hai sul server, se coincidono stampi al volo la pagina con le istruzioni print altrimenti stampi un messaggio di errore...
Se gli utenti sono pochi e puoi scrivere uno per uno i confronti da fare, meglio, altrimenti tieni i dati in un database...
Ti conviene usare le sessioni, se credi puoi evitare di usare i cookies propagando il sessid tramite post (es. aggiungendo nel form una riga tipo: print('<input type="hidden" name="PHPSESSID" value="'.$PHPSESSID.'">'); ).

Brevi spezzoni di codice:

Per le sessioni scrivi un qualcosa tipo:

Codice: Seleziona tutto

session_start();
if(!IsSet($_POST['PHPSESSID']))
{
$PHPSESSID=session_id();
}
else
{
$PHPSESSID=session_id($_POST['PHPSESSID']);
}

Per il form qualcosa tipo:

Codice: Seleziona tutto

 print("<br>Inserire il nome utente:");
                          print("<br><form method=\"post\" action=\"{$_SERVER['P
HP_SELF']}\" > <input type=\"text\" name=\"utente\">");
                                  print("<br><br>Inserire la password:<br>");
                                  print("<input type=\"password\" name=\"passwor
d\"><br><br>");
                                  print("<input type=\"submit\" value=\"Invia\">
");
                                  print("</form><br>");

Per il controllo qualcosa tipo:

Codice: Seleziona tutto

function controllo($user,$passwd)
{
	if(($user=="geodesio"&&$passwd=="6e6bc4e49dd477ebc98ef4046c067b5f")||($user=="anassimene"&&$passwd=="0c88028bf3aa6a6a143ed846f2be1ea4"))
	{
		return TRUE;
	}
	else
	{
		return FALSE;
	}

Nel mio caso gli md5 li ho calcolati con:

Codice: Seleziona tutto

php -a
echo md5("password-di-accesso");

Ho detto che la procedura è relativamente semplice, ma non è veloce...
Se la sicurezza è poi importante occorre prestare una certa attenzione, in particolare occhio all'inserimento di codice malizioso tramite il form sfruttando le sequenze di escape, soprattutto se lo interfacci con un database (sql injection).

[aschenaz]

Io, in genere, utilizzo un altro metodo:
- innanzitutto non ricorro all'MD5, ma utilizzo una funzione di criptatura personalizzata e memorizzo la password su database come semplice campo di testo (che essendo criptato in modo originale, non è intelligibile con semplicità);

- poi, nel file di raccolta dati:

Codice: Seleziona tutto

// connessione mysql già aperta
$mypasswd=miaFunzioneCrypt($_POST["password"]);
$qry="SELECT * FROM utenti WHERE username='{$_POST["username"]}' AND password='$mypasswd'";
$res=mysql_query($qry);
if(!$res) {
      header("Location: index.php?backmsg=utente_non_autorizzato");
      exit();
}
$rws=mysql_fetch_object($res);
$_SESSION["user"]=$rws->username;
// etc.

Naturalmente, al funzione di criptatura dev'essere il più complicata possibile, associando diverse funzioni di modifica e conversione delle stringhe.

Per quanto riguarda l'sql injection, è fondamentale non settare a "on" il register_globals di php.ini.

Ciao,
nino

[ccts2002]

più o meno avevo fatto anch'io qualcosa del genere...
la cosa che mi interesserebbe è come avete risolto il problema del primo invio password...mi spiego:
una volta che si è confrontata la password, la si può ``rimandare'' da una pagina all'altra come hidden, come ha anche detto albatros

...
aggiungendo nel form una riga tipo: print('<input type="hidden" name="PHPSESSID" value="'.$PHPSESSID.'">')
...

ma la prima volta che l'utente si logga, la password viene trasmessa in chiaro, quindi chiunque stia sniffando, la può leggere tranquillamente...girando in internet avevo trovato uno script javascript che effettuando la conversione md5 (o qualsivoglia, basta scriverla!!!) sulla macchina client, invia la password già criptata...solo che necessita di avere java sul client, perdendo tutta la bellezza di avere un linguaggio lato server...
per la vostra esperienza, è solo paranoia o si può fare qualcosa?

ciao

P.S.: ovviamente tralasciamo il discorso se il sito merita o no tanta sicurezza...la mia è una curiosità di tipo ``cultura personale''...non si sa mai nella vita...

[aschenaz]

più o meno avevo fatto anch'io qualcosa del genere...
la cosa che mi interesserebbe è come avete risolto il problema del primo invio password...
CUT
ma la prima volta che l'utente si logga, la password viene trasmessa in chiaro, quindi chiunque stia sniffando, la può leggere tranquillamente...girando in internet avevo trovato uno script javascript che effettuando la conversione md5 (o qualsivoglia, basta scriverla!!!) sulla macchina client, invia la password già criptata...solo che necessita di avere java sul client, perdendo tutta la bellezza di avere un linguaggio lato server...
per la vostra esperienza, è solo paranoia o si può fare qualcosa?
..

Beh, volendo, si può ricorrere al protocollo https, ma, personalmente, non ho mai approfondito la materia, anche perché, coi pochi siti con cui ho avuto a che fare, non era il caso di eccedere in sicurezza...

Qui, comunque, c'è un tutorial.

Ciao,
nino

[albatros]

E' più che legittima la questione dell'invio della password in chiaro, personalmente non l'ho affrontata perché viaggia in chiaro anche la password di accesso al pannello del sito, quindi avrebbe poco senso, nel mio caso, inviare password crittate per accedere a sezioni particolari del sito dato che chi avesse sniffato la password principale potrebbe fare più o meno quello che vuole...

[aschenaz]

E' più che legittima la questione dell'invio della password in chiaro, personalmente non l'ho affrontata perché viaggia in chiaro anche la password di accesso al pannello del sito, quindi avrebbe poco senso, nel mio caso, inviare password crittate per accedere a sezioni particolari del sito dato che chi avesse sniffato la password principale potrebbe fare più o meno quello che vuole...

Appunto per questo preferisco usare una funzione di criptatura personalizzata...

[masalapianta]

Io, in genere, utilizzo un altro metodo:
- innanzitutto non ricorro all'MD5, ma utilizzo una funzione di criptatura personalizzata

ritieni che il tuo algoritmo crittografico fatto in casa sia piu' robusto di md5?

[masalapianta]

ma la prima volta che l'utente si logga, la password viene trasmessa in chiaro, quindi chiunque stia sniffando, la può leggere tranquillamente...

per questo i login dovrebbero andare tutti sotto https

[aschenaz]

Io, in genere, utilizzo un altro metodo:
- innanzitutto non ricorro all'MD5, ma utilizzo una funzione di criptatura personalizzata

ritieni che il tuo algoritmo crittografico fatto in casa sia piu' robusto di md5?

Non sia mai!

Però, l'md5 è uno standard e ci arrivano tutti, ai miei percorsi tortuosi e demenziali ci si può arrivare lo stesso, ma non è altrettanto immediato...

Nel senso che, se uno riesce ad accedere al database e vede un campo password criptato, la prima cosa che prova è l'md5, no?

[masalapianta]

Io, in genere, utilizzo un altro metodo:
- innanzitutto non ricorro all'MD5, ma utilizzo una funzione di criptatura personalizzata

ritieni che il tuo algoritmo crittografico fatto in casa sia piu' robusto di md5?

Non sia mai!

Però, l'md5 è uno standard e ci arrivano tutti, ai miei percorsi tortuosi e demenziali ci si può arrivare lo stesso, ma non è altrettanto immediato...

Nel senso che, se uno riesce ad accedere al database e vede un campo password criptato, la prima cosa che prova è l'md5, no?

ormai e' noto da anni che la security by obscurity non funziona, soprattutto in campo crittografico; la prima cosa che si impara studiando crittografia e' che la robustezza di un algoritmo NON deve dipendere dal fatto che sia noto o meno; ti garantisco che e' mooooooolto piu' semplice fare crittanalisi sul tuo algoritmo fatto in casa piuttosto che vedersela con md5 (nonostante md5 sia noto e il tuo algoritmo no)

[aschenaz]

...
ormai e' noto da anni che la security by obscurity non funziona, soprattutto in campo crittografico; la prima cosa che si impara studiando crittografia e' che la robustezza di un algoritmo NON deve dipendere dal fatto che sia noto o meno; ti garantisco che e' mooooooolto piu' semplice fare crittanalisi sul tuo algoritmo fatto in casa piuttosto che vedersela con md5 (nonostante md5 sia noto e il tuo algoritmo no)

Ok, ne farò tesoro per il futuro.
Grazie 1000.