SICUREZZA SUL WEB: GESTIONE DEGLI UTENTI ECDL TEST CENTER WEB SITE

Transcript

1 ISTITUTO TECNICO INDUSTRIALE G.M. ANGIOY SASSARI SICUREZZA SUL WEB: GESTIONE DEGLI UTENTI ECDL TEST CENTER WEB SITE Andrea Zinchiri 5 A Abacus

2 Presentazione mondo internet L invenzione più grande di tutti i tempi, almeno per quanto riguarda il mondo dell informatica, è Internet. Nato inizialmente come progetto militare negli anni 60, ha acquisito negli ultimi decenni un ruolo decisamente più diffuso, sino ad arrivare ai giorni nostri, dove in tutte le case possediamo una connessione ADSL. Con la diffusione si larga scala di Internet dunque, anche il suo sfruttamento ha subito profondi cambiamenti. I motori di ricerca rappresentano le pagine più cliccate, è il mondo dell e-commerce ha acquisito sempre più notorietà negli ultimi anni. È addirittura possibile possedere un conto bancario online e acquistare comodamente da casa propria, ogni tipo di bene e/o servizio. Risulta facile capire come l utilizzo di dati sensibili sul web sia aumentato esponenzialmente in pochissimo tempo, dando così origine al problema più importante di internet, la Sicurezza. Sicurezza dei dati su internet È importante che i nostri dati su internet siano preservati da ogni forma di accesso non autorizzato. I rischi sono svariati, e si va dai più banali furti di identità su social network o account , ai più importanti furti monetari, dalle carte di credito alle carte prepagate e così via... Per evitare di dover avere a che fare con questi problemi, in fin dei conti sarebbe necessario (oltre ad un antivirus periodicamente aggiornato, ed un buon anti-spyware) avere un po di conoscenza riguardo i rischi ai quali si espone un navigatore, ma anche circa la prevenzione di eventuali attacchi indesiderati. Dal punto di vista del web developer il problema si pone diversamente: sta a lui decidere le politiche di protezione del suo sito web, e di conseguenza del database al quale (se pur indirettamente) fa riferimento. Il primo problema che si trova ad affrontare è quindi quello di stabilire le regole del chi può fare cosa. Utilizzo di utenti per la sicurezza dei dati Quello che si fa è fondamentalmente limitare l accesso ai dati, tramite la gestione di utenti, con diversi ruoli, autorizzati a poter fare determinate cose nell ambito del sito web in questione. La gestione degli utenti consiste nella maggior parte dei casi in un database contenente tutte le credenziali d accesso di un singolo utente. Il sistema deve essere in grado di riconoscere ogni singolo utente del sito, e permettere ad un qualsiasi visitatore di potersi registrare come utente, attraverso. Ogni utente deve essere quindi in grado di autenticarsi al sito da qualunque computer che abbia una connessione ad internet, attraverso l utilizzo di una coppia di stringe (username e password) che lo identificano all interno del database come utente distinto. Lavoro sito ecdl Il sito relativo al test center ECDL (European Computer Driving Licence) della nostra scuola, sviluppato l anno scorso dalla classe 5 A Abacus, nell ambito dell area di progetto, contiene informazioni relative alle certificazioni ed alle sessioni d esame (versione 1.0), il mio lavoro di quest anno inserisce tutta la parte relativa alla gestione degli utenti (versione 2.0). Abbiamo degli utenti occasionali del sito, che ragionevolmente possono vedere solamente la parte informativa del sito e non possono avere accesso alle informazioni riservate. Abbiamo poi gli iscritti, che possono aver sostenuto degli esami. Nel caso che abbiano conseguito l attestato, possono verificarne l effettiva presenza in sede attraverso una ricerca, utilizzando il codice della skill card personale. È stato ritenuto necessario apportare tali modifiche per permettere a coloro che hanno superato tutti gli esami di poter controllare online se il proprio diploma sia arrivato e sia disponibile presso la sede. Per far si che si possano aggiornare i dati online è necessario decidere chi può fare cosa. Nasce dunque l esigenza di decidere il ruolo di ogni utente del sito. Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 2

3 Entrando nello specifico, possiamo dire che lo stato dell applicazione è stato gestito attraverso l utilizzo dell oggetto Session. Il vantaggio di utilizzare quest oggetto, sono le sue caratteristiche di creazione e distruzione. Infatti l oggetto Session viene creato dal motore ASP.NET ogni volta che viene aperta una nuova sessione nel sito e da quel momento è condiviso a tutte le pagine dell applicazione web. Una sessione viene aperta per definizione, ogni volta che un browser fa la sua prima richiesta all web server. La sessione viene chiusa dopo che il browser non effettua più richieste per un determinato lasso di tempo, che per default è di venti minuti. Un altro oggetto simile Session, è Application. Esattamente come il suo fratello minore è richiamabile da tutte le pagine dell applicazione, con la differenza che viene creato una volta soltanto, e cioè quando il primo browser fa la prima richiesta al web server. Quest oggetto viene distrutto quando viene spento il web server o quando viene modificato il file web.config. Per utilizzare questi due oggetti (nel sito in esame è stato utilizzato solo l oggetto Session) ci si serve del file Global.asax, che consiste in una raccolta di metodi che sono in grado di intercettare i seguenti eventi: - Avvio di una nuova sessione ( Session_Start() ) - Chiusura di una sessione ( Session_End() ) - Avvio dell applicazione ( Application_Start() ) - Arresto dell applicazione ( Application_End() ) Di seguito è riportato il file Global.asax <%@ Application Language="C#" %> <script runat="server"> void Application_Start(object sender, EventArgs e) // Codice eseguito all'avvio dell'applicazione void Application_End(object sender, EventArgs e) // Codice eseguito all'arresto dell'applicazione void Application_Error(object sender, EventArgs e) // Codice eseguito in caso di errore non gestito void Session_Start(object sender, EventArgs e) // Codice eseguito all'avvio di una nuova sessione Session["nomeUtente"] = "Utente Anonimo"; Session["Password"] = 0; Session["Ruolo"] = "Visitatore"; Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 3

4 void Session_End(object sender, EventArgs e) // Codice eseguito al termine di una sessione. // Nota: l'evento Session_End viene generato solo quando la modalità sessionstate // è impostata su InProc nel file Web.config. Se la modalità è impostata su StateServer // o SQLServer, l'evento non viene generato. </script> Screenshot Il database quale si collega l applicazione web, e mostrato negli screenshot successivi, contiene esclusivamente dati di prova. Questa è la pagina Da questa form è possibile autenticarsi con le proprie credenziali d accesso, necessarie per poter fare la ricerca online del proprio attestato. All utente qualsiasi viene assegnato automaticamente dal sistema il ruolo di Visitatore, ed ha libertà molto limitata all interno della parte dinamica del sito. Un utente registrato assume al suo accesso il ruolo di User è ha alcune autorizzazioni che poi vedremo. L utente amministratore invece, dal momento che si autentica, viene riconosciuto dal sistema con il ruolo Admin, ed è autorizzato ad inserire nuovi attestati, modificarne di esistenti ed eventualmente cancellarli. Tutte queste modifiche hanno ripercussione ovviamente sul database. Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 4

5 Questa è la pagina Questa è la pagina dove l amministratore può visualizzare tutti gli attestati presenti nel DB. In questo caso la pagina è in stato di modifica (solo l amministratore può abilitare l editing) ed è molto utile in caso di inserimenti sbagliati. Questa sezione, oltre che permettere la visualizzazione di tutti i diplomi e la loro modifica, permette a chiunque, purchè sia iscritto al sito, si effettuare una ricerca su tutti i diplomi, in modo tale da non dover perdere tempo in ricerche manuali. Oltre che per comodità, questa scelta è stata presa anche per una questione di privacy: un utente deve poter controllare solo se il suo diploma è presente in sede. Questo è un esempio di ricerca sulla pagina precedente. La ricerca può essere effettuata per skill card, che è la scelta più ovvia visto e considerato che lo stesso campo ricopre il ruolo di primary key nella tabella ATTESTATI. Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 5

6 E possibile, per un amministratore, inserire nuovi record nella tabella ATTESTATI. Ciò è indispensabile se si vuole aggiungere un diploma nella tabella, senza dover effettuare un inserimento dal pannello di controllo di SqlServer di Aruba, ma è indispensabile anche perché gli amministratori del sito non devono necessariamente ricoprire anche il ruolo di amministratori del server SQL. Si noti in quest ultimo screenshot, come sia impossibile, per un utente anonimo o non registrato (comunque non autorizzato), accedere alle pagine precedenti. Si ricorda che gli utenti registrati possono fare ricerche ma non possono accedere alla pagina di inserimento dati e gli utenti non registrati non possono accedere a nessuna delle due pagine. Logicamente un amministratore oltre che vedere entrambe le pagine, può accedere a tutti i dati della tabella ATTESTATI. Progettazione database I dati vengono gestiti con l utilizzo di un database SQL Server Per prima cosa è stato creato un database contenente tutte le informazioni necessarie all utente per effettuare il login al sito, le credenziali d accesso (username e password), e il ruolo attribuitogli dall amministratore del database, che sarà un responsabile del test center. Contiene inoltre, codici dei diplomi (stringa di 12 caratteri varchar), data di conseguimento del diploma, livello del diploma (CORE, ADVANCED, CAD). Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 6

7 Strumenti software Per quanto riguarda gli strumenti software invece è stata sfruttata la più recente tecnologia messa a disposizione da Microsoft. Si è scelto di utilizzare strumenti software messi a disposizione dal colosso informatico per antonomasia, per garantire maggiore sicurezza ed affidabilità. È stato utilizzato il.net Framework ( v3.5 Non è stato scelto il più recente perché i server di Aruba non supportano va versione 4.0 ), alla quale fa riferimento la piattaforma di sviluppo Visual Studio 2010 (nella sua ultima versione). E stato scelto un linguaggio di programmazione compatibile col.net Framework, quale C#, necessario per gestire filtri e ricerche, lato server. Per lo sviluppo dell applicazione web è stata utilizzata la tecnologia ASP.NET che mette a disposizione, oltre ai controlli html base, gli oggetti utilizzabili lato server (Button, Textbox, ). Per le connessioni al database è stato scelto di affidarsi alla tecnologia ADO.NET, che consente di prelevare i dati dal database, che nel nostro caso è gestito tramite SqlServer. Pubblicazione online Lo spazio web, cioè il server sul quale memorizzare (e rendere visibile sul web) il sito, è stato messo a disposizione da Aruba. Le connessioni al server web sono state rese possibili dal programma FTP (File Transfer Protocol) open source FileZilla, attraverso il quale ho sostituito/aggiunto tutti i file riguardanti la parte dinamica del sito web. Per l archiviazione dei dati è stato scelto il servizio DB Server di Aruba, che ha ospitato il database contenente le tabelle degli utenti. Il sito è navigabile all indirizzo: Sviluppo software Di seguito sono riportate le pagine della parte dinamica dell applicazione web. Listato file private.apsx.cs using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using System.Data; using System.Data.SqlClient; public partial class Private : System.Web.UI.Page protected void Page_Load(object sender, EventArgs e) Label2.ForeColor = System.Drawing.Color.Black; Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 7

8 protected void btnjoin_click(object sender, EventArgs e) bool exsist; //Creo una connessione al DB, che si trova in un'altro luogo fisico rispetto all'applicazione web string connutenti server=xx.xxx.xxx.xx;uid=mssqlabc;pwd=xyz;database=mssqlabc ; SqlConnection cn = new SqlConnection(connUtenti); //controllo se esistono già utenti con quel nome //mi aiuto con una variabile booleana string query = "SELECT * FROM Users WHERE Username = '" + txtruser.text + "';"; SqlCommand cm = new SqlCommand(query, cn); cn.open(); SqlDataReader dr = cm.executereader(); if (dr.read() == true) exsist = true; else exsist = false; cn.close(); //se non esistono già utenti con quel nome utente (che è la pk)... if (exsist == false) //...inserisco il nuovo utente query = "insert into Users values('" + txtruser.text + "','" + txtrpass.text + "','User')"; SqlCommand comando = new SqlCommand(query, cn); cn.open(); comando.executenonquery(); cn.close(); Label2.Text = "La registrazione è avvenuta con successo! Effettua ora il Login!"; //altrimenti... else //messaggio di errore Label2.Text = "Esiste già un utente con questo nome: cambia username e riprova."; Label2.ForeColor = System.Drawing.Color.Red; Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 8

9 protected void btnentra_click(object sender, EventArgs e) //controllo che un'utente che ha già effettuato il login rieffettui la stessa operazione //(non comprometterebbe la stabilità dell'applicazione ma è scorretto dal punto di vista concettuale) //se il tuo ruolo non è visitatore (viene assegnato agli utenti anonimi)... if (Session["Ruolo"].ToString()!= "Visitatore") //... messaggio di errore Label2.Text = "Hai già effettuato il Login! Se vuoi entrare con un'altro account effettua il logout e riprova."; //altrimenti... else //login! string connutenti server=xx.xxx.xxx.xx;uid=mssqlabc;pwd=xyz;database=mssqlabc ; SqlConnection cn = new SqlConnection(connUtenti); //dichiaro la query con i dati inseriti dall'utente string query = "SELECT * FROM Users WHERE Username = '" + txtluser.text + "' AND Password = '" + txtlpass.text + "';"; SqlCommand cm = new SqlCommand(query, cn); cn.open(); SqlDataReader dr = cm.executereader(); //se trovo corrispondenze nella tabella utenti con i dati precedentemente inseriti... if (dr.read() == true) //...effettuo il login e cambio lo stato (utilizzo l'oggetto Session) Session["nomeUtente"] = dr["username"].tostring(); Session["Ruolo"] = dr["ruolo"].tostring(); //ricarico la pagina sennò la master non viene ricaricata e rimane la voce "Benvenuto Utente Anonimo" -.- Page.Response.Redirect("Private.aspx"); //altrimenti... else //...messaggio di errore Label2.Text = "riprova: dati di accesso errati"; Label2.ForeColor = System.Drawing.Color.Red; cn.close(); Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 9

10 Listato file Attestati.aspx.cs using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using System.Data.SqlClient; using System.Data; public partial class Italiano_Attestati : System.Web.UI.Page protected void Page_Load(object sender, EventArgs e) Label4.Visible = false; Label3.ForeColor = System.Drawing.Color.Black; LinkButton1.Visible = false; //nascondo o mostro i controlli in base al ruolo if (Session["Ruolo"].ToString()!= "Admin") btnmodifica.visible = false; btninserisci.visible = false; GridView1.Visible = false; //nascondo o mostro i controlli in base al ruolo if (Session["Ruolo"].ToString() == "Visitatore") Label3.ForeColor = System.Drawing.Color.Red; Label3.Text = "ACCESSO NEGATO. Prima di poter fare una ricerca o di poter vedere gli attestati devi avere effettuato l'accesso!"; txtsc.visible = false; btncerca.visible = false; protected void btnmodifica_click(object sender, EventArgs e) //abilito la modifica GridView1.AutoGenerateDeleteButton = true; GridView1.AutoGenerateEditButton = true; btnfine.visible = true; btninserisci.visible = false; btnmodifica.visible = false; protected void btnfine_click(object sender, EventArgs e) //disabilito la modifica Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 10

11 GridView1.AutoGenerateDeleteButton = false; GridView1.AutoGenerateEditButton = false; btnfine.visible = false; btnmodifica.visible = true; btninserisci.visible = true; protected void btncerca_click(object sender, EventArgs e) //mostro e nascondo eventuali controlli GridView1.DataSourceID = null; btnfine.visible = false; btnmodifica.visible = false; btninserisci.visible = false; Label3.Visible = false; txtsc.visible = false; btncerca.visible = false; LinkButton1.Visible = true; //stabilisco una connessione col DB string connutenti server=xx.xxx.xxx.xx;uid=mssqlabc;pwd=xyz;database=mssqlabc ; SqlConnection cn = new SqlConnection(connUtenti); //predispongo la mia query di ricerca string query = "SELECT * FROM ATTESTATI WHERE PkAttestati = '" + txtsc.text + "';"; SqlDataAdapter da = new SqlDataAdapter(query, cn); DataTable dt = new DataTable(); //eseguo.. cn.open(); da.fill(dt); cn.close(); //se ci sono dei risultati... if (dt.rows.count!= 0) //mostrali Label4.Visible = false; GridView1.DataSource = dt; GridView1.Visible = true; //altrimenti... else //messaggio di errore Label4.Visible = true; GridView1.Visible = false; protected void btninserisci_click(object sender, EventArgs e) //se si dovesse cliccare sul bottone "inserisci" //reindirizzo il browser alla apposita pagina Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 11

12 Page.Response.Redirect("Insert.aspx"); protected void LinkButton1_Click(object sender, EventArgs e) //gestione pulsante "back" Page.Response.Redirect("Attestati.aspx"); Listato file Insert.aspx.cs using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using System.Data.SqlClient; using System.Data; public partial class Italiano_Attestati : System.Web.UI.Page protected void Page_Load(object sender, EventArgs e) //se l'utente non è amministratore non è autorizzato //a vedere questa pagina e viene reindirizzato //alla pagina Attestati.aspx if (Session["Ruolo"].ToString()!= "Admin") Page.Response.Redirect("Attestati.aspx"); protected void btnvai_click(object sender, EventArgs e) //definisco la connessione al database string connutenti server=xx.xxx.xxx.xx;uid=mssqlabc;pwd=xyz;database=mssqlabc ; SqlConnection cn = new SqlConnection(connUtenti); //predispongo l'inserimento string query = "INSERT INTO ATTESTATI VALUES ('" + TextBox1.Text + "','" + TextBox2.Text + "','" + TextBox3.Text + "');"; SqlCommand cm = new SqlCommand(query, cn); //eseguo... cn.open(); cm.executenonquery(); cn.close(); //ricarico la pagina Page.Response.Redirect("Insert.aspx"); Andrea Zinchiri ITI G.M.Angioy di Sassari A.S. 2010/11 - classe 5 a Abacus 12