sicurezza dati inviati da form

**express** · 13-11-2005, 10.08.48

salve, esiste un modo di inviare dati da una form in maniera "sicura" ?

mi spiego: sto creando un sistema che necessita di login per l'accesso e praticamente ogni volta che carico delle pagine in questo sistema vengono inviati user e pwd: la prima volta (quando vengono immessi) in chiaro eppoi una volta effettuato il login viene rispedita con un input hidden la md5 hash di usr e pwd. domanda: esiste un metodo più sicuro di fare la cosa? mi riferisco in modo particolare al primo passaggio. gli altri, bene o male, sono sicuri...

**funcool** · 13-11-2005, 10.10.13

Devi usare i cookie.

**express** · 13-11-2005, 10.25.58

sei proprio sicuro?

Cito dal sito ufficiale di php [ http://www.php.net/manual/en/features.cookies.php ]:
It's generally considered very bad practice to store usernames and/or passwords in cookies, whether or not they're obsfucated.

**funcool** · 13-11-2005, 10.26.48

Allora usa le sessioni.

**express** · 13-11-2005, 10.36.05

sono la stessa cosa con un nome diverso... e soprattutto non risolve il problema del "primo passo" ...

**funcool** · 13-11-2005, 10.37.24

I siti più importanti usano le sessioni e usano un id crittografato.

**express** · 13-11-2005, 10.40.37

mi sai indicare del codice da studiare in merito?

**dementialsite** · 13-11-2005, 17.15.53

Se il tuo problema è quello che la prima volta i dati vengono inviati ad un indirizzo che mostra i dati stessi, più o meno come accade all'indirizzo della pagina da cui sto scrivendo:

Codice:

http://forum.altervista.org/newreply.php?do=newreply&noquote=1&p=365835

devi semplicemente verificare che il codice del modulo sia qualcosa del genere

Codice HTML:

<FORM NAME="..." ACTION="..." METHOD="post">
...
</FORM>

In questo modo i dati non sono visibili sull'indirizzo ma allegati in un file esterno, che PHP trova automaticamente usando come variabili i nomi che hai assegnato ai campi HTML di prima.

Stammi bene...

**express** · 13-11-2005, 19.23.36

no, nn intendevo quello... intendevo il fatto che è possibile sniffare pure le variabili post... e siccome firefox mi manda un alert dicendomi che la form invia dati in modo insicuro, volevo sapere quale era il modo sicuro di farlo... ammesso che ci sia.

**funcool** · 13-11-2005, 19.29.52

Dovresti usare il protocollo https.

**express** · 14-11-2005, 01.30.39

e come si fa?

**domenicoragusa** · 14-11-2005, 01.48.19

devi avere un server adatto, su av non lo puoi fare
ciao ciao

**express** · 14-11-2005, 09.46.21

ok... ma non è che mi spiegate come si fa? ( o mi date un bel link

)

14-11-2005, 11.37.51

Una possibile soluzione al tuo problema la trovi nel sorgente di questo forum.

In pratica quando si fa il submit dell'user e pwd, prima di passare i dati al POST, vengono converiti da una funzione javascript che ne fa l'md5. Solo dopo vengono inviati col form gli hash delle due variabili.
La conversione avviene quindi in locale e non c'è mai passaggio di dati in chiaro tra client e server

mavericck

14-11-2005, 15.31.15

Originalmente inviato da mavericckweb

Una possibile soluzione al tuo problema la trovi nel sorgente di questo forum.

In pratica quando si fa il submit dell'user e pwd, prima di passare i dati al POST, vengono converiti da una funzione javascript che ne fa l'md5. Solo dopo vengono inviati col form gli hash delle due variabili.
La conversione avviene quindi in locale e non c'è mai passaggio di dati in chiaro tra client e server

mavericck

cmq qst sistema nn è sicuro lo stesso, sniffando la connessione ci si può loggare tranquillamente, basta invire gli stessi hash con un form normale ke nn fa nessuno conversione...

Discussione: sicurezza dati inviati da form

LinkBack

Strumenti discussione

Display

sicurezza dati inviati da form

Regole di scrittura