analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
importanti, quali ad esempio particolari permessi (ad es. amministratore) o informazioni
private.
• Path trasversale: questo attacco coinvolge l’uso di indirizzi relativi (es.
"../../somedir/somefile.txt") per accedere a risorse che normalmente non dovrebbero
essere disponibili.
6.4 Broken Authentication e Session Management
Nelle moderne applicazioni web, la gestione dell’autenticazione è uno dei primi meccanismi
messo in atto per discriminare un utente riconosciuto da uno estraneo. Solitamente l’utente si
presenta (fase di identificazione) inviando username e password che attesta la sua conoscenza
del "segreto condiviso" (fase di autenticazione).
A seguito di questa procedura, per la natura stateless del protocollo HTTP, è necessario tener
traccia delle operazioni compiute durante la navigazione dal singolo navigatore; pensiamo ad
una tipica applicazione commerciale, in cui è necessario mantenere un carrello virtuale con i
prodotti acquistati dall’utente. Per dotare le applicazioni web di questa funzionalità, negli anni
sono state sviluppate numerose tecniche ma, ad oggi, la più comune è quella basata su token di
sessione. In pratica, nella fase che segue l’autenticazione, il server associa al client un ID di
sessione che distinguerà univocamente un utente da un altro; ogni qualvolta il browser
dell’utente effettua una richiesta verso l’applicazione invia anche tale identificativo,
permettendo di tracciare le varie operazioni compiute nel tempo. Sul lato client tale
informazione è spesso memorizzata all’interno dei cookie. Nella figura successiva è
schematizzato il classico meccanismo dei session token.
130