23 messaggi dal 04 ottobre 2001
Sapreste aiutarmi riguardo la sicurezza dei dati passati da un form???
Il problema e' questo:
Ho alcune textbox di tipo hidden che si trovano in un form, che utilizzo per passare dei valori presi con un oggetto recordset da un db che vengono messi nel value di queste textbox hidden e poi li passo ad un'altra pagina.
Nella barra degli indirizzi i valori passati non si vedono perche' vengono passati con il metodo POST, pero' se vado nella sezione file temporanei e prendo il file asp in questione, lo apro con la tipologia di modifica con front page si vedono perfettamente le mie textbox hidden con il value che contiene il valore preso dal db!
Come passo non far vedere quel value quando vado nei file temporanei ed apro il file con front page? grazie x il vostro aiuto che spero mi darete
823 messaggi dal 05 agosto 2002
Guarda che si vedono anche in altri modi, dal codice html, dalle variabili post (sniffate e non) ....
Se hai bisogno di sicurezza tieni tutto sul server e leggi di volta in volta, passando solo un codice di riferimento, come il session id dei siti con accesso autenticato e fai scadere le sessioni, in modo che il codice non possa essere riutilizzato facilmente.
Tieni anche presente che tutto il traffico http è in chiaro e che cose tipo username e password sono leggibili da chiunque, unico rimedio SSL e connessioni HTTPS.
In questo caso uno dei pochi modi per leggerli è ricorrere a un keylogger (BO2K infatti ne ha uno ...)

Stick to your guns.
Formazione su MySQL o Firebird? Contattami!
23 messaggi dal 04 ottobre 2001
la soluzione SSL e' stata gia' da me proposta al cliente ma non e' gradita.
Ho usato anche variabili di sessione ma dovendomi passare i valori tra due siti con path virtuali diversi, tale variabili non sono visibili.
Quando parli di SESSION ID ti riferisci alle variabili SESSION da me citate o e' un altro tipo di SESSION???
823 messaggi dal 05 agosto 2002
No, il session id è una stringa che viene associata alla sessione (e passata come variabile tra le pagine) e utilizzata per verificare se chi richiede la pagina ha diritto di vederla.
Di solito la si utilizza come chiave per recuperare da una tabella i dati dell'utente per la sessione.

Una cosa ancora, ma se il cliente non si preoccupa della sicurezza, perchè tanto casino? Non sarebbe il caso di fargli lo spiegone e poi piazzargli l'SSL ;-)?

Stick to your guns.
Formazione su MySQL o Firebird? Contattami!

Torna al forum | Feed RSS

ASPItalia.com non è responsabile per il contenuto dei messaggi presenti su questo servizio, non avendo nessun controllo sui messaggi postati nei propri forum, che rappresentano l'espressione del pensiero degli autori.