Laboratorio di Sistemi Autenticazione utente mediante MySQL Jsp [Java]

Transcript

1 Per la comprensione del presente articolo, occorre aver assimilato i concetti esposti nell'articolo Prototipo autenticazione utente (file autenticazione_2.pdf). (Tratto da Wikipedia, l'enciclopedia libera) Funzione MD5 L'MD5 (acronimo di Message Digest algorithm 5) è un algoritmo per la crittografia dei dati a senso unico realizzato da Ronald Rivest (nella foto) nel 1991 e standardizzato con la RFC Questo tipo di codifica prende in input una stringa di lunghezza arbitraria e ne produce in output un'altra a 128 bit (ovvero con lunghezza fissa di 32 valori esadecimali, indipendentemente dalla stringa di input) che può essere usata per calcolare la firma digitale dell'input. La codifica avviene molto velocemente e si presuppone che l'output (noto anche come "MD5 Checksum" o "MD5 Hash") restituito sia univoco (ovvero si ritiene che sia impossibile, o meglio, che sia altamente improbabile ottenere con due diverse stringhe in input una stessa firma digitale in output) e che non ci sia possibilità, se non per tentativi, di risalire alla stringa di input partendo dalla stringa di output (la gamma di possibili valori in output è pari a 16 alla 32esima potenza). Applicazione pratica dell'md5 La crittografia tramite algoritmo MD5 viene applicata in tutti i settori dell'informatica che lavorano con il supporto delle firme digitali o che comunque trattano dati sensibili. Ad esempio, viene utilizzata per controllare che uno scambio di dati sia avvenuto senza perdite, semplicemente attraverso il confronto della stringa prodotta dal file inviato con quella prodotta dal file ricevuto. Con lo stesso metodo si può verificare se il contenuto di un file è cambiato (funzione utilizzata dai motori di ricerca per capire se una pagina deve essere nuovamente indicizzata). È diffuso anche come supporto per l'autenticazione degli utenti attraverso i linguaggi di scripting Web server-side (PHP in particolare): durante la registrazione di un utente su un portale internet, la password scelta durante il processo verrà codificata tramite MD5 e la sua firma digitale verrà memorizzata nel database (o in qualsivoglia contenitore di dati). autenticazione_3.pdf Pag. 1/9 Cozzetto

2 Successivamente, durante il login la password immessa dall'utente subirà lo stesso trattamento e verrà confrontata con la copia in possesso del server, per avere la certezza dell'autenticità del login. (Fine testo tratto da Wikipedia) Esempio con Php E' facilissimo costruire un piccolo esempio di utilizzo della funzione md5 in Php (md5 è una funzione built-in del linguaggio). File md5.php <?php?> $messaggio="paperino"; echo ($messaggio."=".md5($messaggio)); Collochiamo la pagina nella home directory del web server Apache e digitiamo la url nel browser Otteniamo una sequenza di 32 valori esadecimali come previsto dalla definizione vista precedentemente. Esempio con Jsp In java, le cose sono leggermente più complesse. Scriviamo, come avviene normalmente con una qualsiasi applicazione java, prima di tutto una classe (che chiameremo MD5) e dotiamo questa classe di un metodo statico che chiameremo md5 (in minuscolo). Il metodo accetta come parametro di input una stringa e restituisce in output una nuova stringa che rappresenta l'impronta della stringa iniziale, in accordo con la definizione. / MD5.java Created on 21 febbraio 2008, / package passwordpkg; autenticazione_3.pdf Pag. 2/9 Cozzetto

3 import java.security.messagedigest; import java.security.nosuchalgorithmexception; maurizio / public class MD5 { public MD5() { public static String md5(string message) throws NoSuchAlgorithmException { // utilizziamo la classe MessageDigest del package java.security MessageDigest md; // getinstance vuole come argomento la costante MD5 che rappresenta // l'algoritmo md5 md = MessageDigest.getInstance("MD5"); catch (NoSuchAlgorithmException ex) { throw new NoSuchAlgorithmException("Errore. Non esiste un tale algoritmo."); // stringbuffer di appoggio StringBuffer sb = new StringBuffer(); // il metodo digest vuole come argomento un array di byte e restituisce un array // di byte byte[] messdig5 = md.digest(message.getbytes()); // trasformiamo l'array di byte in una stringa for( int i = 0 ; i < messdig5.length ; i++ ) { String tmpstr = "0"+Integer.toHexString( (0xff & messdig5[i])); sb.append(tmpstr.substring(tmpstr.length()-2)); // restituiamo la stringa ottenuta da sb return sb.tostring(); // fine metodo md5 // fine classe MD5 Poi progettiamo una piccola web application (MD5WebApp) con la quale testare il metodo appena descritto. autenticazione_3.pdf Pag. 3/9 Cozzetto

4 File import="md5pkg." <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" " <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>prova MD5</title> </head> <body> <h3>prova MD5</h3> String messaggio = "paperino"; out.println( messaggio + "=" + MD5.md5(messaggio) ); </body> </html> Come si può facilmente vedere, la stringa ottenuta è esattamente la stessa rispetto a quella ottenuta mediante Php. Database MySQL users_db Prepariamo ora un database MySQL users_db e la tabella users_tbl con la seguente struttura: autenticazione_3.pdf Pag. 4/9 Cozzetto

5 Il campo id rappresenta la chiave primaria della nostra tabella (di tipo autoincrement). Il campo password riceverà le password criptate degli utenti mediante il metodo md5 come spiegato precedentemente. Per gestire più facilmente l'inserimento dei dati, utilizziamo il noto applicativo PhpMyAdmin che è dotato di una comoda interfaccia web. Prepariamo alcuni dati di prova sfruttando uno dei due applicativi (quello in Php o quello in Jsp) descritti precedentemente. La web application PasswordDBWebApp Riprogettiamo ora il sistema di autenticazione utente. Sostanzialmente ciò che cambia è la logica di accesso ai dati della classe ListaUtenti. Rinomiamo la classe ListaUtenti in ConnDBUtenti per motivi puramente formali. La classe Utente non cambia (vedi file autenticazione_2.pdf, Prototipo autenticazione utente ). Ricordiamoci di scaricare dal link (oppure dal sito della Sun visto che l'azienda che produce MySQL è stata appena acquisita da Sun MicroSystem) i driver java (noti come MySQL Connector/JDBC) per MySQL di tipo 4. Estraiamo dal file tar.gz o dal file zip scaricato il file mysqlconnector-java bin.jar. Poi copiamo il file jar nella cartella lib (apriamo la cartella web, poi andiamo in WEB-INF e creiamo la cartella lib all'interno). File ConnDBUtenti.java / ConnDBUtenti.java Created on 3 febbraio 2008, / package passwordpkg; import java.sql.connection; import java.sql.drivermanager; import java.sql.resultset; import java.sql.sqlexception; import java.sql.statement; maurizio / public class ConnDBUtenti implements java.io.serializable { private Connection conn = null; / Creates a new instance of ConnDBUtenti / autenticazione_3.pdf Pag. 5/9 Cozzetto

6 public ConnDBUtenti() throws ClassNotFoundException, SQLException { Class.forName("org.gjt.mm.mysql.Driver"); //Class.forName("com.mysql.jdbc.Driver").newInstance(); altro Driver conn=drivermanager.getconnection("jdbc:mysql://localhost:3306/users_db? user=root&password=coz123"); catch (ClassNotFoundException e) { throw new ClassNotFoundException("Problemi nel caricamento dei driver."); catch (SQLException e) { throw new SQLException("Problemi nello stabilire la connessione col database."); // fine costruttore public Utente cercautente(string username, String password) throws Exception, SQLException { Statement st = null; ResultSet rs = null; if (username.equals("") && password.equals("")) throw new Exception("Attenzione! Non puoi lasciare username e password vuoti."); if (username.equals("")) throw new Exception("Attenzione! Non puoi lasciare il campo username vuoto."); if (password.equals("")) throw new Exception("Attenzione! Non puoi lasciare il campo password vuoto."); String sql="select FROM users_tbl WHERE username='"+username+"' AND password='"+passwordpkg.md5.md5(password)+"'"; st=conn.createstatement(); rs = st.executequery(sql); if (!rs.next()) { // record non trovato rs.close(); st.close(); //conn.close(); return null; else { // record individuato passwordpkg.utente v = new passwordpkg.utente(); v.setusername(rs.getstring("username")); autenticazione_3.pdf Pag. 6/9 Cozzetto

7 v.setluogodinascita(rs.getstring("luogo_di_nascita")); v.setluogodiresidenza(rs.getstring("luogo_di_residenza")); rs.close(); st.close(); //conn.close(); return v; // end if catch (SQLException e) { throw new SQLException("Impossibile eseguire la query o chiudere la connessione."); // fine try-catch // fine metodo cercautente // fine classe ConnDBUtenti A questo punto, la struttura delle nostre pagine web subisce davvero poche lievi modifiche in quanto la logica di accesso ai dati non è cablata nelle pagine web (che assolvono al ruolo di presentazione) bensì nelle classi di supporto (javabean) Utente e ConnDBUtenti (che hanno invece il ruolo di Model nel nostro applicativo). Riportiamo per comodità le 3 pagine index.jsp, riservata.jsp e logout.jsp. File pageencoding="utf-8" <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" " <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>login utente</title> </head> <body> <h3>login utente</h3> if (session.getattribute("utente")!=null) response.sendredirect("riservata.jsp"); <form name="provafrm" action="${request.requesturi" method="post"> <p>username <input type="text" name="usernametxt" /><br/> Password <input type="password" name="passwordtxt" /><br/> <input type="submit" name="inviabtn" value="invia"/></p> </form> autenticazione_3.pdf Pag. 7/9 Cozzetto

8 if (request.getparameter("inviabtn")!=null) { passwordpkg.conndbutenti conn; conn=new passwordpkg.conndbutenti(); catch(exception e) { out.println(e.getmessage()); return; String username = request.getparameter("usernametxt"); String password = request.getparameter("passwordtxt"); passwordpkg.utente v; v = conn.cercautente(username, password); catch (Exception e) { out.println(e.getmessage()); return; if (v!=null) { session.setattribute("utente",v); response.sendredirect("riservata.jsp"); else out.println("accesso non consentito. Non sei autorizzato ad accedere alla pagina."); </body> </html> File pageencoding="utf-8" <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" " <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>pagina riservata</title> </head> <body> <h3>accesso riservato</h3> autenticazione_3.pdf Pag. 8/9 Cozzetto

9 if (session.getattribute("utente")==null) { out.println("<p>pagina riservata. Non puoi accedere alle informazioni riservate.</p>"); out.println("<p>tra pochi secondi verrai rediretto verso la home page. Aspetta per piacere...</p>"); response.setheader("refresh","5; index.jsp"); else { passwordpkg.utente v = (passwordpkg.utente) session.getattribute("utente"); out.println("benvenuto "+v.getusername()+". Accesso consentito."); out.println("sei nato a "+v.getluogodinascita()+" e risiedi a "+v.getluogodiresidenza()+"."); out.println("<p><a href='logout.jsp'>logout</a></p>"); </body> </html> File pageencoding="utf-8" <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" " <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>pagina di logout</title> </head> <body> <h3>pagina di logout</h3> if (session.getattribute("utente")!=null) { passwordpkg.utente v = (passwordpkg.utente) session.getattribute("utente"); out.println("grazie "+v.getusername()+" di aver usato l'applicativo."); session.removeattribute("utente"); session.invalidate(); out.println("<p>tra pochi secondi verrai rediretto verso la home page. Aspetta per piacere...</p>"); response.setheader("refresh","5; index.jsp"); else { response.sendredirect("index.jsp"); </body> </html> autenticazione_3.pdf Pag. 9/9 Cozzetto