Documenti personali e riservati nel web

[giustavalla]

Avrei intenzione di inserire alcuni documenti personali e riservati in una certa cartella del mio sito.
Successivamente vorrei realizzare una o più pagine che visualizzano questi documenti (tutti di tipo PDF).
Sarà necessario precedere questa visualizzazione con una pagina in cui l'utente (io) immette le credenziali.
Qualcosa del genere (username e password sono direttamente nel codice)

username = Request.Cookies("NomeSito")("username") 
if username="iomemedesimo" then
   psw1=Request.Cookies("NomeSito")("psw1") 
      if psw1="sesamo" then 
         Session("AccessoConsentito")="SI"
         response.redirect "menu.asp"
   end if
end if

e in menu.asp ed in tutte le pagine interne :

If Session("AccessoConsentito"<>"SI then response.end

Preferirei questa soluzione, in alternativa a DropBox, GoogleDrive e simili perchè mi da l'opportunità di gestire meglio i documenti, per argomento, per data ed in altro modo.
Inoltre vorrei realizzare una semplice app per Android che, installata esclusivamente sul mio telefono, accede ai medesimi documenti senza necessità di inserire le credenziali.
Sarà anche necessario inserire in robots.txt

Disallow: /NomeCartellaRiservata/

Fino a qui nessun problema a mettere in pratica quanto sopra esposto ma la domanda è: quanto è sicura questa soluzione ?
Un'altra cosa: il file robots.txt può essere scaricato da chiunque. In tal caso non si danno utili informazioni a malintenzionati che possono concentrare i loro attacchi su specifiche cartelle ? Se è così come evitare tutto ciò ?
Grazie per l'attenzione.

[alka]

Fino a qui nessun problema a mettere in pratica quanto sopra esposto ma la domanda è: quanto è sicura questa soluzione ?

Direi zero: qualunque opzione che preveda il salvataggio di credenziali in chiaro all'interno di cookie o in altri file è potenzialmente violabile da chiunque, anche da un principiante.

Un'altra cosa: il file robots.txt può essere scaricato da chiunque. In tal caso non si danno utili informazioni a malintenzionati che possono concentrare i loro attacchi su specifiche cartelle ? Se è così come evitare tutto ciò ?

Il file robots.txt è legato all'indicizzazione dei motori di ricerca: che io sappia, non ha nulla a che vedere con la sicurezza.

Io consulterei un esperto di sicurezza e magari non adotterei una tecnologia obsoleta come ASP per questa soluzione: esporre documenti personali può portare a conseguenze molto serie, pure penali, quindi non è una cosa da prendere assolutamente alla leggera, soprattutto adottando soluzioni custom e raffazzonate.

[Vincent.Zeno]

le credenziali in chiaro sono una stupidaggine, anche se utilizzate per l'auto-login.
fatti una bella autenticazione con un minimo di criptazione e poi nel cookie ci metti un codice univoco (che registrerai nel DB) valido fino al logout. ovvio che dovrai scegliere come gestire più autenticazioni dello stesso utente su più macchine.

i file riservati andranno messi in una cartella non esplorabile.
tipicamente, sui server windows, puoi usare la mdb-database o sottocartelle.
altrimenti puoi inserire un file web.config con le istruzioni di blocco all'esplorazione (ma con permessi di scrittura) in un altra cartella di tua preferenza.

qui avrai la difficoltà di consultazione proprio perché la cartella non è esplorabile.
dovrai quindi fare una copia al volo del file che ti interessa in un'altra cartella o creare uno script che ti legga il file.
meglio di tutto se salvi il documento direttamente nel database.
non ci sono "problemi di sicurezza" con asp, tutto dipende dal codice che si scrive e dalle procedure create; non dalla tecnologia in se.

[giustavalla]

Direi zero: qualunque opzione che preveda il salvataggio di credenziali in chiaro all'interno di cookie o in altri file è potenzialmente violabile da chiunque, anche da un principiante.

Username e password sarebbero registrate in un file ASP che, ch'io sappia, non è consultabile come se fosse un file TXT. O sbaglio ?
In effetti nel mio sito c'è un'area che non dovrebbe essere esplorabile in cui ho memorizzato degli MDB.
Grazie comunque di avermi allertato circa la non fattibilità della mia soluzione.
Ma

qui avrai la difficoltà di consultazione proprio perché la cartella non è esplorabile.

se non è esplorabile come faccio a fare la copia al volo del file. Accedendo dal web o con lo smartphone io non so quali file sono memorizzati in quella cartella.

[Vincent.Zeno]

Username e password sarebbero registrate in un file ASP che, ch'io sappia, non è consultabile come se fosse un file TXT. O sbaglio ?

il file asp ovviamente non è leggibile da web, ma ci hai fatto vedere che le credenziali si trovano scritte in chiaro nei cookie.
e comunque anche nel file asp non è sano inserirle.
vanno confrontate con quelle presenti nel DB.

se non è esplorabile come faccio a fare la copia al volo del file. Accedendo dal web o con lo smartphone io non so quali file sono memorizzati in quella cartella.

la cartella di esempio non è esplorabile da web, ma da script si.
farai un listato,
clicchi ad esempio sul link del documento,
quindi invece di riportarti al doc crei la procedura per cui viene eseguita una copia provvisoria del file in una cartella esplorabile,
quindi recuperi il nuovo indirizzo e avrai accesso diretto.
poi puoi scegliere come e quando cancellare i file provvisori.
ammetto: è un po' complesso.
l'alternativa, come dicevo, è scrivere direttamente nel DB e prendere la li il doc alla bisogna. l'uso del DB ti consente di aggiungere molte più info sul file e note varie

[optime]

dal post iniziale sembra che questi documenti debbano essere semplicemente consultabili, ed esclusivamente da te. E' corretto?

[giustavalla]

Si, sono consultabili esclusivamente da me.
Mi sono sbagliato nello scrivere il codice del mio primo post. Laddove c'è
Request.Cookies("NomeSito") ....
va inteso
Request.QueryString("NomeSito") ...
Preferirei evitare il DB. I documenti sono solo 20 o 30.
Credo di aver capito il meccanismo con cui si deve creare un copia al volo del documento.
Nel mio sito in global.asa ho un riferimento alla posizione fisica in cui sono memorizzati gli MDB.
Session("globalDatabase")="Z:\www1\xyzkj\MDB\"

[optime]

se sono solo per te e non li devi modificare, perché non te li salvi nel telefonino e amen?