2010/5/30 Alessandro Romani: > Marco, > hanno chiarificato ampiamente Stefano e Marcello ciò che io ritengo un bug > in senso allargato o, per essere più precisi, una pessima scelta > implementativa.
Beh, all'inizio era un bug, e dopo aver chiarito che non lo è, adesso lo chiamiamo "bug in senso allargato" o "pessima scelta implementativa". Sono contento che abbiamo precisato: le parole sono importanti quando descrivono il mondo reale. > Dal mio punto di vista "paranoico" avrei preferito una scelta molto più > restrittiva: > > 1) Form inviato in POST (come, d'altronde, si insegna sulla guida base di > HTML). Lo abbiamo capito che lo preferisci, ma l'HTML consente entrambi, quindi se non ci sono stringenti motivi (che non sono stati portati fin'ora) non vedo perché spendere soldi per farlo cambiare > 2) Hash della password sempre e comunque, a prescindere dalla presenza di un > certificato SSL. Ovvero, dove lo creeresti l'hash? client side con un JavaScript? > Questo per il semplice motivo che preferisco avere più livelli di protezione > piuttosto che un unico point of failure. Sono d'accordo, ma per adesso non vedo "unici point of failure" > D'altra parte sono già noti, in the > wild, attacchi man in the middle in cui colui che sta nel mezzo può > dichiarsi Vodafone.it, sniffare il contenuto e reinoltrare la richiesta al > sito leggittimo comportandosi, di fatto, da proxy. Quali? senza che il browser se ne accorga e ti avverta? Se stai probabilmente parlando della serie di attacchi descritta da Moxie Marlinspike, sappi che per funzionare 1) devi stare su una rete corporate (a meno che tu non riesca a fare un improbabile man in the middle nella open Internet) 2) richiedono comunque un phishing/social engineering, l'utente deve essere stato intercettato e rediretto _prima_ dell'inizio della sessione SSL), e 3) richiedono la produzione di un certificato formato in modo particolare (con null-string al suo interno eccetera) e sono per la gran parte già fissati sia lato certification authority sia sui browser moderni. Se non stai parlando di questo dimmi di cosa parli, perché ignoro altri attacchi simili. Giudizio: fattibile, ma molto, molto improbabile, ed in ogni caso, non ha assolutamente NULLA a che vedere col la "pessima scelta implementativa"... è un topic completamente diverso, che non si applica certo soltanto a questo sito! Cordiali saluti -- Marco Ermini r...@human # mount -t life -o ro /dev/dna /genetic/research http://www.linkedin.com/in/marcoermini "Jesus saves... but Buddha makes incremental back-ups!" ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
