Mostra notizie nelle discussioni
  • Avatar
    Scritto da
    Non Autenticato
    il 2017-01-04 17:19:57.0 alle 2017-01-04 17:19:57.0
    Autenticazione sicura fai da te tramite cookie
    In genere quando ci si autentica i siti creano un cookie che mantiene attiva la sessione autenticata - il login - finché l'utente non esce o il cookie non scade o viene cancellato.

    Da ciò ho provato a immaginare il seguente schema di autenticazione, che vorrebbe servire per accedere al proprio sito in modo sicuro anche quando l'hosting non permette SSL.

    Una pagina web locale crea il cookie di autenticazione via Javascript.
    Collegandosi al sito, questo rileva il cookie e si è automaticamente loggati.

    Dato che rilevare il cookie comporta una trasmissione dal client al server lungo la rete del suo contenuto, questo è cifrato, dalla pagina locale con Javascript, con una chiave privata e viene decifrato sul server con una chiave pubblica.
    Il server decifra il contenuto del cookie e autentica l'utente se e solo se una certa porzione del cookie corrisponde a ciò che ci si aspetta (utente e password corretti, volendo anche informazioni orarie e altri dati). Il contenuto contiene anche stringhe casuali in modo che, cifrato, corrisponda sempre a stringhe diverse, e non sia quindi possibile costruire un cookie adatto all'autenticazione intercettando dati in rete.

    Questo schema non vuole sostituire SSL, ma dovrebbe garantire l'accesso sicuro anche tramite un nodo di uscita Tor compromesso. Lo scenario d'uso è: accedo al mio sito, situato su una macchina fidata, tramite una rete insicura.

    Che ne pensate? Ci trovate difetti logici?
    • Avatar
      ☺
      Scritto da
      avvelentani
      Cubicolario
      il 2017-01-04 20:17:37.0 alle 2017-01-04 20:17:37.0
      Trollate totali: 18184
      Re: Autenticazione sicura fai da te tramite cookie
      Scritto da:
      > In genere quando ci si autentica i siti creano un cookie che mantiene attiva la sessione autenticata - il login - finché l'utente non esce o il cookie non scade o viene cancellato.
      >
      > Da ciò ho provato a immaginare il seguente schema di autenticazione, che vorrebbe servire per accedere al proprio sito in modo sicuro anche quando l'hosting non permette SSL.
      >
      > Una pagina web locale crea il cookie di autenticazione via Javascript.
      > Collegandosi al sito, questo rileva il cookie e si è automaticamente loggati.

      Non ti e` chiaro come funzionano i cookie per l'autenticazione. Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.
      I think happiness is love
      - Vladimir Putin
      • Avatar
        Scritto da
        Non Autenticato
        il 2017-01-04 21:39:39.0 alle 2017-01-04 21:39:39.0
        Re: Autenticazione sicura fai da te tramite cookie
        Scritto da: avvelentani
        > Scritto da:
        > > In genere quando ci si autentica i siti creano un cookie che mantiene attiva la sessione autenticata - il login - finché l'utente non esce o il cookie non scade o viene cancellato.
        > >
        > > Da ciò ho provato a immaginare il seguente schema di autenticazione, che vorrebbe servire per accedere al proprio sito in modo sicuro anche quando l'hosting non permette SSL.
        > >
        > > Una pagina web locale crea il cookie di autenticazione via Javascript.
        > > Collegandosi al sito, questo rileva il cookie e si è automaticamente loggati.
        >
        > Non ti e` chiaro come funzionano i cookie per l'autenticazione.

        Non è che non mi sia chiaro, non ne so proprio una mazza. Tutto ciò che vedo è che loggandoti crei un cookie e resti loggato finché non viene distrutto o scade.

        Però nei cookie puoi scrivere dei dati, che il server può leggere.

        > Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.

        SSL in Javascript è più di quello che chiedo, che è autenticarsi senza usare un form.
        • Avatar
          ☺
          Scritto da
          avvelentani
          Cubicolario
          il 2017-01-04 22:19:25.0 alle 2017-01-04 22:19:25.0
          Trollate totali: 18184
          Re: Autenticazione sicura fai da te tramite cookie
          Scritto da:
          > Scritto da: avvelentani
          > > Scritto da:
          > > > In genere quando ci si autentica i siti creano un cookie che mantiene attiva la sessione autenticata - il login - finché l'utente non esce o il cookie non scade o viene cancellato.
          > > >
          > > > Da ciò ho provato a immaginare il seguente schema di autenticazione, che vorrebbe servire per accedere al proprio sito in modo sicuro anche quando l'hosting non permette SSL.
          > > >
          > > > Una pagina web locale crea il cookie di autenticazione via Javascript.
          > > > Collegandosi al sito, questo rileva il cookie e si è automaticamente loggati.
          > >
          > > Non ti e` chiaro come funzionano i cookie per l'autenticazione.
          >
          > Non è che non mi sia chiaro, non ne so proprio una mazza. Tutto ciò che vedo è che loggandoti crei un cookie e resti loggato finché non viene distrutto o scade.

          Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.

          >
          > Però nei cookie puoi scrivere dei dati, che il server può leggere.
          >
          > > Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.
          >
          > SSL in Javascript è più di quello che chiedo, che è autenticarsi senza usare un form.

          Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.

          Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?
          I think happiness is love
          - Vladimir Putin
          • Avatar
            Scritto da
            Non Autenticato
            il 2017-01-04 22:37:51.0 alle 2017-01-04 22:37:51.0
            Re: Autenticazione sicura fai da te tramite cookie
            Scritto da: avvelentani
            > Scritto da:
            > > Scritto da: avvelentani
            > > > Scritto da:
            > > > > In genere quando ci si autentica i siti creano un cookie che mantiene attiva la sessione autenticata - il login - finché l'utente non esce o il cookie non scade o viene cancellato.
            > > > >
            > > > > Da ciò ho provato a immaginare il seguente schema di autenticazione, che vorrebbe servire per accedere al proprio sito in modo sicuro anche quando l'hosting non permette SSL.
            > > > >
            > > > > Una pagina web locale crea il cookie di autenticazione via Javascript.
            > > > > Collegandosi al sito, questo rileva il cookie e si è automaticamente loggati.
            > > >
            > > > Non ti e` chiaro come funzionano i cookie per l'autenticazione.
            > >
            > > Non è che non mi sia chiaro, non ne so proprio una mazza. Tutto ciò che vedo è che loggandoti crei un cookie e resti loggato finché non viene distrutto o scade.
            >
            > Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.
            >
            > >
            > > Però nei cookie puoi scrivere dei dati, che il server può leggere.
            > >
            > > > Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.
            > >
            > > SSL in Javascript è più di quello che chiedo, che è autenticarsi senza usare un form.
            >
            > Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.

            Ottimo ma dovrei ragionarci un po' su, finora sono arrivato a pensare al metodo che ho descritto sopra.

            > Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?

            Usando Tor sarebbe in chiaro lo scambio di informazioni fra il nodo di uscita e il server su cui sta il sito. Lo scenario di utilizzo è che non voglio che il nodo venga a conoscenza delle credenziali per l'accesso al sito, mentre tutto il resto delle informazioni non sono segrete, ad esempio quel che pubblico nel sito. La differenza tra essere loggati o meno è nel contenuto delle pagine come ti appaiono e nelle funzionalità che permettono.
            • Avatar
              ☺
              Scritto da
              avvelentani
              Cubicolario
              il 2017-01-04 23:24:54.0 alle 2017-01-04 23:24:54.0
              Trollate totali: 18184
              Re: Autenticazione sicura fai da te tramite cookie
              Scritto da:
              > Scritto da: avvelentani
              > > Scritto da:
              > > > Scritto da: avvelentani
              > > > > Scritto da:
              > > > >
              > > > > Non ti e` chiaro come funzionano i cookie per l'autenticazione.
              > > >
              > > > Non è che non mi sia chiaro, non ne so proprio una mazza. Tutto ciò che vedo è che loggandoti crei un cookie e resti loggato finché non viene distrutto o scade.
              > >
              > > Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.
              > >
              > > >
              > > > Però nei cookie puoi scrivere dei dati, che il server può leggere.
              > > >
              > > > > Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.
              > > >
              > > > SSL in Javascript è più di quello che chiedo, che è autenticarsi senza usare un form.
              > >
              > > Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.
              >
              > Ottimo ma dovrei ragionarci un po' su, finora sono arrivato a pensare al metodo che ho descritto sopra.
              >
              > > Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?
              >
              > Usando Tor sarebbe in chiaro lo scambio di informazioni fra il nodo di uscita e il server su cui sta il sito. Lo scenario di utilizzo è che non voglio che il nodo venga a conoscenza delle credenziali per l'accesso al sito, mentre tutto il resto delle informazioni non sono segrete, ad esempio quel che pubblico nel sito. La differenza tra essere loggati o meno è nel contenuto delle pagine come ti appaiono e nelle funzionalità che permettono.

              si` ma a che serve?
              I think happiness is love
              - Vladimir Putin
              • Avatar
                Scritto da
                Non Autenticato
                il 2017-01-05 01:22:25.0 alle 2017-01-05 01:22:25.0
                Re: Autenticazione sicura fai da te tramite cookie
                Scritto da: avvelentani
                > Scritto da:
                > > Scritto da: avvelentani
                > > > Scritto da:
                > > > > Scritto da: avvelentani
                > > > > > Scritto da:
                > > > > >
                > > > > > Non ti e` chiaro come funzionano i cookie per l'autenticazione.
                > > > >
                > > > > Non è che non mi sia chiaro, non ne so proprio una mazza. Tutto ciò che vedo è che loggandoti crei un cookie e resti loggato finché non viene distrutto o scade.
                > > >
                > > > Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.
                > > >
                > > > >
                > > > > Però nei cookie puoi scrivere dei dati, che il server può leggere.
                > > > >
                > > > > > Comunque in generale, si`, ti puoi reimplementare SSL in javascript se SSL non e` disponibile sul server HTTP.
                > > > >
                > > > > SSL in Javascript è più di quello che chiedo, che è autenticarsi senza usare un form.
                > > >
                > > > Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.
                > >
                > > Ottimo ma dovrei ragionarci un po' su, finora sono arrivato a pensare al metodo che ho descritto sopra.
                > >
                > > > Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?
                > >
                > > Usando Tor sarebbe in chiaro lo scambio di informazioni fra il nodo di uscita e il server su cui sta il sito. Lo scenario di utilizzo è che non voglio che il nodo venga a conoscenza delle credenziali per l'accesso al sito, mentre tutto il resto delle informazioni non sono segrete, ad esempio quel che pubblico nel sito. La differenza tra essere loggati o meno è nel contenuto delle pagine come ti appaiono e nelle funzionalità che permettono.
                >
                > si` ma a che serve?

                A non far sapere al nodo di uscita nome e password, nel caso non ci sia SSL.
                • Avatar
                  ☺
                  Scritto da
                  avvelentani
                  Cubicolario
                  il 2017-01-05 07:36:20.0 alle 2017-01-05 07:36:20.0
                  Trollate totali: 18184
                  Re: Autenticazione sicura fai da te tramite cookie
                  Scritto da:
                  > Scritto da: avvelentani
                  > > Scritto da:
                  > > > Scritto da: avvelentani
                  > > > > Scritto da:
                  > > > >
                  > > > > Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.
                  > > > >
                  > > > >
                  > > > > Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.
                  > > >
                  > > > Ottimo ma dovrei ragionarci un po' su, finora sono arrivato a pensare al metodo che ho descritto sopra.
                  > > >
                  > > > > Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?
                  > > >
                  > > > Usando Tor sarebbe in chiaro lo scambio di informazioni fra il nodo di uscita e il server su cui sta il sito. Lo scenario di utilizzo è che non voglio che il nodo venga a conoscenza delle credenziali per l'accesso al sito, mentre tutto il resto delle informazioni non sono segrete, ad esempio quel che pubblico nel sito. La differenza tra essere loggati o meno è nel contenuto delle pagine come ti appaiono e nelle funzionalità che permettono.
                  > >
                  > > si` ma a che serve?
                  >
                  > A non far sapere al nodo di uscita nome e password, nel caso non ci sia SSL.

                  Il nodo di uscita non se ne fa di nulla di nome utente e password, se vuole leggere quello che stai mandando puo` farlo perche' e` in chiaro, se ti vuole impersonare puo` farlo usando il tuo cookie perche' e` in chiaro.
                  I think happiness is love
                  - Vladimir Putin
                  • Avatar
                    Scritto da
                    Non Autenticato
                    il 2017-01-05 19:52:15.0 alle 2017-01-05 19:52:15.0
                    Re: Autenticazione sicura fai da te tramite cookie
                    Scritto da: avvelentani
                    > Scritto da:
                    > > Scritto da: avvelentani
                    > > > Scritto da:
                    > > > > Scritto da: avvelentani
                    > > > > > Scritto da:
                    > > > > >
                    > > > > > Il cookie e` un nonce crittografico, dev'essere per forza generato dal server.
                    > > > > >
                    > > > > >
                    > > > > > Una funzione javascript nella pagina di login usa la chiave pubblica del server per contattare il server, usando comunicazioni cifrate tramite javascript client e server negoziano una chiave di sessione, come farebbe SSL. La chiave di sessione viene utilizzata per trasferire la password, il server verifica la password, genera il cookie e lo manda indietro, tutto crittografato tramite la chiave di sessione. Questa roba va fatta includendo un po' di roba randomizzata per evitare replay attacks, vedi come viene fatto in SSL. Fine dell'autenticazione.
                    > > > >
                    > > > > Ottimo ma dovrei ragionarci un po' su, finora sono arrivato a pensare al metodo che ho descritto sopra.
                    > > > >
                    > > > > > Il problema pero` e` questo: che te ne fai dell'autenticazione crittografata se poi tutte le informazioni che ti scambi sono in chiaro?
                    > > > >
                    > > > > Usando Tor sarebbe in chiaro lo scambio di informazioni fra il nodo di uscita e il server su cui sta il sito. Lo scenario di utilizzo è che non voglio che il nodo venga a conoscenza delle credenziali per l'accesso al sito, mentre tutto il resto delle informazioni non sono segrete, ad esempio quel che pubblico nel sito. La differenza tra essere loggati o meno è nel contenuto delle pagine come ti appaiono e nelle funzionalità che permettono.
                    > > >
                    > > > si` ma a che serve?
                    > >
                    > > A non far sapere al nodo di uscita nome e password, nel caso non ci sia SSL.
                    >
                    > Il nodo di uscita non se ne fa di nulla di nome utente e password,

                    Potrebbe venderli a qualcuno interessato ad entrare nel mio sito come amministratore e fare delle cose a mia insaputa, tipo cancellare dei commenti.

                    > se vuole leggere quello che stai mandando puo` farlo perche' e` in chiaro, se ti vuole impersonare puo` farlo usando il tuo cookie perche' e` in chiaro.

                    Questo è già più brutto.
<softv>

Pagina generata in 73 millisecondi

Utenti attivi: 8 nell'ultimo minuto, 25 negli ultimi cinque minuti, 59 negli ultimi 15 minuti