Volevo sapere il parere (di quelli che se ne intendono ovvio 😛 ) circa il pacchetto sulla sicurezza che ho rilasciato oggi per gdrcd.M interessa sapere cosa ne pensate delle innovazioni apportare (criptazione password e attivazione personaggio via mail) e sopratutto se avete consigli per migliorare ulteriormente la sicurezza del sito sotto l'aspetto trattato da questo pacchetto.Vi chiedo questo, perchè la modalità usata in questo tool, è stata pensata partendo da uno spunto preso dal codice proprietario che sto creando, e visto che una comunità open serve anche a migliorare, vorrei sapere i punti dove posso migliorare il tutto
Pagine: 1 [2]
05/03/2008 19:39:28
Lo trovo estremamente utile, anche (e sopratutto) da abbinare al progetto legalità di gemini.Innovazioni che si possono apportare circa questo campo, in più, ora non mi vengono in mente.
Se darkside non va alla montagna...Darkside va al mare.[Link ]
05/03/2008 19:50:21
Odio GDR-CD per molti motivi (primo fra tutti perchè ormai uso solo DVD), ma ho provato a dare un'occhiata al codice scaricando il pacchetto (l'unico di GDR-CD presente sul mio PC per fortuna, i CD sono la maledizione del Masterizzatore u__ù) e devo dire che è veramente ben fatto, soprattutto con le dovute modifiche può essere implementato in tutti i GDR volendo (non GDR-CD intendo).Come detto da dark inoltre calza a pennello col Progetto Legalità, e anche l'idea dell'Abilitazione dell'Account è buona, l'ho fatto pure io del resto, come può nn essere buona u__ùPerò son contrario all'idea di cancellare i PG dopo solo 72 ore O___OCioè, favorevole alla pulizia, ma 3 giorni son troppo pochi secondo me XD
spongebobtheking 19.26:maverick perfavore datti fuocomaverick21 19.26:ok +si dà fuocohahod_balderk 19.26:evvai!!! XD"Dai, fammi del male" chiese il Masochista"NO!" rispose il Sadico.© BloodyRay
05/03/2008 19:58:35
la cancellazione l'ho fatta entro 72 ore (3 giorni) perchè sono del parere che se ti iscrivi ad un gdr ci entri subito, non aspetti più di tre giorni per attivare il pg ed entrare
05/03/2008 20:01:15
AHHHHHHH!!!Ora si spiega tutto XDQuindi è a tre giorni dall'Iscrizione, e non in generale, errore mio, pensavo fosse che chi non entrava per tre giorni veniva cancellato, ora ha tutto più senso.Concordo allora.
06/03/2008 10:17:46
Io stavo facendo un pensierino al criptare anche la mail di iscrizione, visto che tanto per controllare che la mail non sia gia stata utilizzata basta salvare al momento dell'iscrizione in una nuova variabile il suo valore criptato e controllare se lo stesso valore esiste nel campo mail del DB e fare una cosa simile anche per il recupero pass.Mi interessava sapere quanto ai fini della sicurezza e della tutela dei dati degli utenti criptare anche la mail fosse un idea utile?A mio parere, visto che è l'unico dato personale fornito dall'utente molto, ma non essendo esperto in materia vorrei sapere le opinioni anche di altri
06/03/2008 14:09:56
Credo che criptare anche l'email sia superfluo in quanto chi la digita la deve conoscere in fondo. Mi spiego: se perdo la password devo inserire l'email con cui mi sono iscritto per ricevere una nuova email con cui entrare di nuovo. Ma se io provo a usare l'email di un altro comunque poi dovrò andare a leggere quella posta per poter ottenere la password in cambio, quindi è inutile criptarla.Insomma alla fine a che serve criptare la password se per potermi intrufolare in essa devo comunque conoscere anche quella password?Secondo me andrebbe ripensato tutto il modo di autenticazione e iscrizione, ovvero fare sì che all'atto di iscrizione venga chiesta una email, ed eventualmente un nome account, ma tenete presente che oramai i grandi database pubblici come Flickr ad esempio, chiedono solo l'email come account.In ogni caso una volta iscritti, non usare l'account come nome del PG, ma obbligare a inventarne un altro e usare l'account solo per l'ingresso al gioco, così non sarà possibile per qualcuno tentare l'ingresso fraudolento conoscendo il nome del PG e/o l'indirizzo email.Insomma più si riesce a tenere segreti certi dati utente e più il sistema è sicuro, ma i dati da tenere segreti vanno scelti in base a politiche giuste, poi ovvio, se la persona da i suoi dati a qualcun altro... ebbene lì c'è poco da fare tranne rendere restrittive certe politiche del sito come ad esempio il ban se scoperti, cosa per altro che già si fà.
01100001 01101100 00100000 01101101 01101111 01101110 01100100 01101111 00100000 01100011 01101001 00100000 01110011 01101111 01101110 01101111 00100000 00110010 00100000 01110000 01100101 01110010 01110011 01101111 01101110 01100101 00101100 00100000 011
06/03/2008 14:14:54
Ora una cosa la chiedo io visto che si parla di sicurezza, anche se forse è una domanda più generale da trattare a parte, solo che prima di aprire un nuovo argomento vorrei pensarci bene.Ho letto il codice di GDRCD e ho visto che è puro spaghetti code, ora senza voler offendere per questo chi si è sbattuto per realizzarlo, cosa meritoria per altro; ma parlando di sicurezza ho notato che fa un pesantissimo utilizzo delle sessioni per passare parametri vari tra una pagina e l'altra.Usare le sessioni è molto pericoloso perché sono facilmente manipolabili dal lato client, e dato che ho visto che non c'è nessun controllo sulla correttezza dei dati contenuti nelle sessioni, sapete se c'è una qualche patch che fa questo o se è previsto un qualche aggiornamento per questo?
06/03/2008 14:24:23
Io utilizzo la mail solo per quei due scopi appunto per la registrazione e per il recupero pass.Per cui per chi ne fa il mio stesso uso andrebbe anche benePer chi ne fa un uso di sistemi automatizzati tipo mail newsletter non potrebbe andare bene una algoritmo di criptazione (avevo letto di qualcosa del genere per rendere sicuro il testo delle mail) che permetta la decriptazione della mail solo inserendo la chiave di decriptazione.In questa maniera uno dovrebbe riuscire non solo ad entrare nel database ma anche a conoscere la chiave di decriptazione scelta per poter avere accesso alle mail.Essendo questa salvata nel codice php della pagina delle newsletter solo avendo accesso al codice della pagina potrebbe essere in grado di decriptare le mailCredo che comunque sarebbe una sicurezza in più rispetto che avere la mail scritta in chiaro nel dbP.S.: il discorso di criptare la mail lo facevo più che altro perchè qualcuno non utilizzasse la lista delle mail contenuta nel database per fare spamming verso quegli indirizzi mail qualora per qualche malaugurato motivo riuscisse ad entrare nel database
06/03/2008 14:36:07
Allora mi sa che non ho capito!Quando parli di email (mail) parli del testo o dell'indirizzo?Perché criptare l'indirizzo non ha proprio nessun senso, criptare il testo dell'email molto di più.Il metodo di cui parli Dyrr, be uno dei tanti metodi di criptazione, può essere il PGP (Pretty Good Privacy) o l'omologo GPG (GNU Privacy Guard), sono sistemi ancora non decriptati e quindi ottimi, il problema è che implementarli è dura, non tanto per il codice, si trovano API già pronte che lo fanno, ma per il server che deve lavorare a più non posso solo per criptare/decriptare i messaggi degli utenti.Ma il problema di cui parli tu però si riconduce alla sicurezza del server e non della possibilità o meno di un furto di identità del Personaggio Giocante.Sulla questione della sicurezza del server non si può aggirare semplicemente criptando i dati, se un server è compromesso non è bene, le cose sono due o il programma (GdR) è pessimo perché non assicura il minimo standard di sicurezza, o il server ha lo stesso problema e quindi andrebbe lasciato e cambiato.M.
06/03/2008 19:59:03
io volevo applicare un sistema simile a quello dei due elencati solamente all'indirizzo mail, che essendo appunto l'unico dato personale è quello che mi interessa proteggere di più.Probabilmente mi sono espresso male io nella spiegazione perchè non mi ricordavo il nome dei dei due programmiil mio interesse nel criptare la mail è aumentato leggendo questo topic in cui si parlava della protezione della mail per la sicurezza della privacy dell'utente[Link ]
Discussione seguita da: » golars
