Sicurezza AJAX

[Linusss]

Ho un dubbio, siccome con ajax si può controllare un database, e siccome il codice per farlo non è altro che banalissimo javascript, se decidessi di dare la possibilita ad un "super utente" di cancellare e modificare i dati in un database tramite AJAX avrei sicurezza pari a zero vero?

Quello che voglio dire è che studiando il codice javascript che fa la chiamata AJAX si potrebbe capire come funziona lo script(ad esempio php) al quale si appoggia, e quindi poterne fare quello che si vuole, o sbaglio?

Sono confuso...

[Mega69]

Immagino che tu faccia autenticare questo super utente attraverso username e password. Se il controllo di queste avviene lato client con javascript, addio sicurezza.

L'autenticazione deve avvenire sempre e solo lato server.



Ovviamente quello della sicurezza non è certo un argomento che si esaurisce in 2 o 3 righe ( magari ). Prova a cercare nel forum.

[fcaldera]

Originariamente inviato da Linusss
Ho un dubbio, siccome con ajax si può controllare un database, e siccome il codice per farlo non è altro che banalissimo javascript, se decidessi di dare la possibilita ad un "super utente" di cancellare e modificare i dati in un database tramite AJAX avrei sicurezza pari a zero vero?

Quello che voglio dire è che studiando il codice javascript che fa la chiamata AJAX si potrebbe capire come funziona lo script(ad esempio php) al quale si appoggia, e quindi poterne fare quello che si vuole, o sbaglio?

Sono confuso...

Allora prova a rispondere a queste domande:

1) Dal sorgente un utente potrebbe capire qual è la pagina di destinazione. Se la tua applicazione funzionasse senza javascript l'utente lo saprebbe lo stesso o sbaglio? In cosa la tua applicazione sarebbe più sicura senza ajax?

2) Il fatto che l'utente conosce l'indirizzo dello script lato server implica che se ne possa capire il codice? No perchè il suo sorgente è inaccessibile all'utente, e comunque lo script dovrà chiaramente filtrare i dati che riceve in input e avere tutti i necessari meccanismi di protezione (controllo sessioni, referrer, etc.)

Quindi progettare un applicazione ajax in termini di sicurezza non è molto diverso dal progettare un'applicazione che non usi javascript poichè il suo impiego si riduce ad una richiesta di una risorsa e della gestione dell'output di risposta... tutto qui.

La sicurezza si deve implementare sempre e comunque lato server.

[Linusss]

L'autenticazione avviene lato server, ma una volta autenticati si permette all'utente "loggato" di servirsi di funzioni javascript per controllare un database.

Il problema è che utilizzando javascript per appoggiarsi ad uno script php ad esempio, si viene a conoscenza di quali parametri vengono passati al codice php per controllare il database, e in più ovviamente alla locazione dello script php...

Quindi volendo si può capire come controllare lo script php per fargli fare quello che si vuole o sbaglio?

[fcaldera]

riformulo la domanda

se tu non usassi ajax l'utente non saprebbe dov'è lo script e non saprebbe quali sono i parametri che accetta?

[Linusss]

Non saprebbe dov'è lo script, ma le variabili che usa si, lo si vedrebbero dall'attributo "name" dei campi del form.
Però questo non è sufficente, perchè come usa poi queste variabili non si sa.
Mentre se si usa ajax, si conoscono sempre le variabili che gli si passa allo script, ma in più si conosce anche quella che gli si passa per utilizzare le variabili.

Ad esempio, mettiamo che lo script che comanda il database ha due sole funzioni, update e delete.
A questo script andrà passato quale campo della tabella cancellare o modificare, e se cancellare o modificare il campo.
Quindi si sa già come controllare questo ipotetico script guardando cosa gli viene passato con javascript.

[Linusss]

La mia ignoranza forse mi sta facendo confendere, comunque, mettiamo caso che io con javascript passi della roba ad uno script php, che non si sa come poi la usa.
Ma questo script php che sicurezza ha? Come fa a sapere se la roba che gli è stata passata è buona o no? Se è proveniente da fonti sicure o no?

Hai nominato il referrer, un controllo su questo basterbbe?

[fcaldera]

Originariamente inviato da Linusss
Non saprebbe dov'è lo script...

Ad esempio, mettiamo che lo script che comanda il database ha due sole funzioni, update e delete...

allora se la tua applicazione - senza ajax - ti consente di fare un update di una tabella significa che hai form per modificare i campi della tabella.

Ma questo form avrà pure come attributo 'action' l'indirizzo dello script che effettua la modifica, o sbaglio? Quindi l'utente vede il sorgente e ricava il dato

Altrimenti se così non fosse mi piacerebbe sapere come hai strutturato la pagina di update. Hai una pagina disponibile online?

[Linusss]

Hai ragione lo si vede lostesso..

[fcaldera]

Ad ogni modo ajax non consente chiamate tra domini diversi, quindi se non altro tutte le chiamate così fatte devono partire dal tuo dominio. Se trovo qualche articolo in rete adatto te lo posto qui, ok?