analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
quella della banca; a questo punto vengono chieste le credenziali e l’utente non sa se il
postback è su http o https. Quindi fondamentale è non solo il cripting dei dati con ssl, ma l’uso
del certificato che garantisce che chi sta dall’altra parte è effettivamente l’entità che dice di
essere. Il certificato client garantisce la banca, mentre quello server autentica l’indirizzo del sito
oltre a criptare le informazioni. Anche il cookie sul client è un punto di attacco in quanto non si
ha la sicurezza che esso sia immune da cross site scripting.
Altri metodi oltre ssl per garantire una comunicazione sicura potrebbero essere la VPN,
l’IPSEC (ottimo), oppure l’IPSEC /L2TP.
4.5 Principi di sicurezza in Asp.NET
Le applicazioni che ci riguardano più da vicino, visto lo sviluppo della piattaforma Talete, sono
quelle Asp.NET che, “per default”, sono disponibili a qualsiasi utente che può connettersi al
server (se è in Internet o su una rete locale). Sebbene questo è l’ideale per molte applicazioni
web (ed incarna lo spirito con cui è nata e cresciuta Internet), non è sempre appropriato. Per
esempio, un sito di e-commerce ha bisogno di fornire un esercizio d’acquisto sicuro per
accaparrarsi clienti.
Un sito subscription-based ha bisogno di limitare contenuto o accesso ad esso, oppure ad
alcune parti come ad esempio ad una pagina di configurazione o ad un report amministrativo.
In questo ambito, Asp.NET fornisce un modello di sicurezza a vari livelli che facilita la
protezione delle web applications. Anche se questo “schema” di sicurezza è potente ed
assolutamente flessibile, può apparire confusionario a causa del numero di strati in cui la
sicurezza può essere applicata; molto del lavoro non viene dallo scrivere codice ma dal
determinare le zone adatte in cui implementarla.
67