analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
• rigenerazione dell’id: questa è una delle tecniche trasparenti all’utente secondo la quale, in
un istante arbitrario, il server cambia l’identificativo di sessione dei dati memorizzati,
aggiornando tale valore nelle risposte fornite al client. Il risultato è simile al time-out, cioè
l’id viene invalidato, ma questa volta il cambiamento del numero non tiene conto del tempo
di vita della sessione o del tempo di inutilizzo, ma è casuale. In PHP è stata predisposta una
funzione apposita (session regenerate()) per la rigenerazione del session id. Tale
funzionalità rende semplicissima l’attuazione di tale contromisura ;
• brute-forcing detection: questa misura di sicurezza viene espletata bloccando l’accesso a
quelle macchine (definite tramite il loro ip o nome dell’ host) che inviano molte richieste
con id errato (estrapolato da bruteforcing) in un tempo troppo breve per essere considerate
accidentali;
• riautenticazione: le operazioni più critiche possono essere salvaguardate annullando
l’autenticazione effettuata dall’utente in modo tale da controllare la sua identità
immediatamente prima dell’esecuzione dell’operazione critica ;
• trasmissione dell’id: se un id viene catturato in fase di trasmissione dello stesso sulla rete,
l’account viene facilmente esposto a duplicazione o attacco di hijacking. La scelta riguardo
il mezzo di trasporto dell’id risulta quindi determinante per quanto riguarda la salvaguardia
della riservatezza.
Asp.NET implementa un meccanismo di gestione della sessione molto avanzato; in Talete, e in
particolare nel file web.config, sono due gli elementi da considerare e da specificare:
1. è stata impostata a true la proprietà FormsAuthentication.SlidingExpiration, che
specifica se è abilitata la scadenza variabile, che consente di reimpostare il tempo di
un cookie di autenticazione attivo in modo che scada a ogni richiesta durante una
singola sessione. Se impostata a true indica che è attivata la scadenza variabile e
quindi il cookie di autenticazione viene aggiornato e la scadenza viene reimpostata a
ogni richiesta durante una singola sessione. Mentre con false si specifica che la
scadenza variabile non è attivata e che il cookie scade dopo un determinato periodo
di tempo dalla propria emissione. Ovviamente l’intervallo di tempo, espresso in
132