Sicurezza autenticazione

**arco_vr** · 13-01-2006, 18:35

ciao a tutti, premetto che son alle prime armi col php, vorrei sapere se a vostro parere uno script così è abbastanza sicuro..
Prima parte: controllo dati utente e se son corretti autorizzo.

codice:

<?
$user=$_POST['username'];
$pwd=$_POST['password'];

if($pwd=="admin"){
session_start();
$_SESSION['loginAdmin'] = true;
header("location: http://localhost/amministrazione/autenticato.php");
}
else{
echo "<html><head><title> \-- Amministrazione -- </title></head><body>
Non sei autorizzato ad entrare. 
Nome utente o password sono errati.</body></html>";
}
?>

Seconda parte: da utilizzare nelle pagine protette

codice:

<?
session_start();
if (!$_SESSION['loginAdmin'])
{
   echo 'Accesso non consentito a quest area.';
   exit();
} 
else{
echo " Zona amministrazione Zona amministrazione Zona amministrazione ";

}

?>

Dunque: per accedere alle pagine protette il browser deve avere il cookie 'loginAdmin'.. giusto?? basta aver questo per figurare autenticati? è possibile creare un cookie e bypassare l'autenticazione??
Vi ringrazio anticipatamente. Ciao!

**Manuelandro** · 13-01-2006, 19:16

1)Il controllo lo fai solo sulla pass? l'username no?
2)con una password così(oltretutto il controllo nick nn c'è) ci metteranno dai 35 ai 60 sec per entrare non autorizzati!
3)un elemento molto efficace per la sicurezza di un login è il crypt e decrypt sia del nick ke della password.
4)se non scoccia te e ki deve entrare come admin, puoi fare un ulteriore "muro" da sorpassare. dopo il login fai un altra pag form ke rikiede un codice pin per entrare, ke conoscerai tu e ki sarà autorizzato.così crei una seconda variabile di sessione e sarà quasi impossibile infrangere le tue barriere!

per ora nn mi viene in mente niente altro... :master:

**arco_vr** · 14-01-2006, 10:56

Intanto grazie..Il controllo l'ho messo così tanto per metter qualcosa. Username e password saranno in una tabella del database. Con le password cifrate in md5.
Il mio dubbio è il seguente: una volta autenticato l'utente cosa succede?? viene mandato al client un cookie chiamato 'loginAdmin'? se si, è possibile che un malintenzionato decida di crearsi un cookie ed entrare senza far login? o c'è qualcosa di più sotto??
grazie!

**mxa** · 14-01-2006, 12:01

Originariamente inviato da arco_vr
Intanto grazie..Il controllo l'ho messo così tanto per metter qualcosa. Username e password saranno in una tabella del database. Con le password cifrate in md5.
Il mio dubbio è il seguente: una volta autenticato l'utente cosa succede?? viene mandato al client un cookie chiamato 'loginAdmin'? se si, è possibile che un malintenzionato decida di crearsi un cookie ed entrare senza far login? o c'è qualcosa di più sotto??
grazie!

Succede che l'utente ha sulla sua macchina un cookie che non fa nient'altroche idntificare una sessione con un SESSION ID. La sessione poi risiede sul server, quindi tutte le variabili che memorizzi in sessione vanno a scriversi in un file dentro al server. L'Hijacking di una sessione che utilizza i cookie è alquanto improbabile.

**arco_vr** · 14-01-2006, 16:03

..perfetto grazie mille! era questo che volevo sapere..

Discussione: Sicurezza autenticazione

Strumenti discussione

Ricerca discussione

Visualizza

Sicurezza autenticazione

Permessi di invio