analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
all’accesso a pagine protette; è una funzionalità da cui moltissime applicazioni web ormai non
possono più prescindere, perché consente di dare accesso ad alcune aree solo a determinati
utenti, provvisti di certi privilegi, così da rendere possibile, ad esempio, l’aggiunta di un’area
ad accesso riservato, che consente di amministrare in tutta sicurezza e autonomia
l’applicazione. Asp.NET 2.0 introduce in quest’ambito delle novità che rendono più semplice
l’implementazione di queste funzionalità, attraverso Membership e Roles API, costruite intorno
al Provider Model, un modello teso a favorire lo sviluppo di applicazioni basate su provider,
facili da creare e immediate da configurare.
Con il termine “autenticazione” s’intende il processo con cui si determina l’identità di un
soggetto e si “costringono” gli utenti a provare che loro sono effettivamente chi dicono di
essere. Di solito, questo comporta l’immissione di credenziali (tipicamente un nome utente e
una password) in una pagina o finestra di login. Generalmente, queste credenziali sono
autenticate, controllate e confrontate con quelle di un elenco di utenti in un archivio o in un
database back-end.
Gli attori sono (almeno):
1 applicazione che deve autenticare
2 principal: un’entità che può essere autenticata
3 authority: un’entità che rappresenta e riconosce i principal, associandoli a dei ruoli che
classificano le “capabilities” di quest’utente.
L’autorizzazione è, invece, quel processo che, dopo l’autenticazione da parte di un utente,
determina se costui ha i permessi sufficienti per compiere una determinata azione o accedere
alla risorsa richiesta (come ad esempio vedere una pagina o recuperare informazioni da un
database, ecc.).
L’autenticazione e l’autorizzazione sono le due pietre angolari per creare un sito sicuro. Per
capire meglio l’importanza di questi aspetti, possiamo fare un’analogia con la procedura di
accesso al sistema operativo Windows. Quando un computer con Windows viene avviato,
l’utente fornisce username e password, in modo tale da autenticarsi al sistema. Da quel punto in
poi, ogni volta che s’interagisce con una risorsa limitata (come un archivio, database, chiave di
registro, ecc.), Windows compie di nascosto controlli di autorizzazione per garantire che lo
70