analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
L’inserimento della protezione SSL è una procedura ancora da completare in Talete;
innanzitutto è stata inserita la seguente proprietà:
In questo modo, quando si va ad effettuare il login, si ottiene il seguente messaggio d’errore:
“ L’applicazione è configurata per inviare cookie protetti. Tali cookie richiedono che il
browser invii la richiesta mediante SSL (protocollo https), mentre la richiesta corrente non è
basata su SSL”.
Il passo successivo è la configurazione di IIS per fare in modo che Talete giri sotto SSL e
l’acquisto di un certificato da una CA.
4.4.1 Come lavora SSL
Con SSL, il client e il web server avviano una sessione sicura prima di comunicare qualsiasi
informazione che usa una chiave di codifica generata casualmente.
Di seguito sono descritte le varie fasi:
Fase 1: Client_Hello
– Il client invia un messaggio Client_Hello al Server per informarlo che vuole
iniziare una sessione. Tale messaggio può essere mandato anche per rinegoziare
una sessione. Il messaggio contiene:
• le combinazioni di algoritmi di crittografia supportati dal Client;
• una lista di algoritmi di compressione supportati dal Client;
– Dopo aver mandato un Client_Hello, il client rimane in attesa di un Server_Hello
63