Black Red Roses

The most powerful theme of Ivory Cities, at the moment, may be this one, Black Red Roses. It sounds to me like some of the strongest German rithms:



Found in YouTube at:
Black Red Roses

Control de seguridad en sesiones Web

Como continuación de la entradilla sobre autentificación de usuarios vamos a introducir en el servicio Web unas pocas líneas adicionales.

Para que el usuario que está autentificado no registre las páginas privadas en la caché del navegador podemos tener la tentación de poner etiquetas META con valores del tipo NO-CACHE o EXPIRES=-1.

Sin embargo creo que es una práctica mucho más ortodoxa hacer caso al fabricante del servidor IIS y leer el artículo How to prevent caching in Internet Explorer.

Para los que tengan bastante con una sola lectura les diré que la recomendación es agregar a cada una de las páginas ASP que no deseamos dejar en la caché el siguiente código:


<% Response.CacheControl = "no-cache" %>
<% Response.AddHeader "Pragma", "no-cache" %>
<% Response.Expires = -1 %>


Estas líneas es bueno agregarlas en las páginas que tienen información más sensible pero tal vez no en todas las páginas de nuestro servidor; a fin de cuentas las cachés de los navegadores sirven para no sobrecargar nuestros servidores.

Autentificación de usuarios en ASP

En un servidor IIS podemos autentificar usuarios de muchas formas.
Una de las más sencillas es utilizar un formulario en el que los usuarios introducen su nombre y su contraseña y luego verificamos este inicio de sesión contra una base de datos de usuarios.
En internet podemos encontrar mucha información sobre autentificación con ASP pero los ejemplos más sencillos se dejan atrás algunas consideraciones de seguridad.

Autentificación elemental

La forma más simple es utilizar una consulta SELECT con los datos del formulario (usuario y contraseña).

ssql = "select * from usuarios_autentificacion where nombre_usuario='" & request.form("usuario") & "' and clave_usuario='" & request.form("contrasena") & "'"

Pero es necesario verificar antes que no se han introducido en el formulario caracteres que puedan generar errores en el scritp ASP que puedan exponer nuestro sistema.

Un usuario malicioso podría utilizar el script para inyectar código en nuestro script de validación y obtener información valiosa sobre nuestro sitio o incluso hacerse con el control.

Autentificación un poco mejorada

Otra forma más elegante (y que no recarga demasiado al servidor) es verificar cada uno de los registros de la base contra los datos introducidos por el usuario:

'lectura secuencial de toda la base de datos de usuarios
Do While not rsGrupo.EOF
'hasta que coincidan las credenciales
If rsGrupo("usuario") = Request.Form("usuario") AND rsGrupo("contraseña") = Request.Form("contraseña") Then
Session("Authenticated") = 1
'en ese momento se redirige a una pagina de acceso a la sección protegida
Response.Redirect ("accedemos.asp")
Else
'si no coinciden mantenemos vacia la variable de autentificación
Session("Authenticated") = 0
Response.Redirect ("login.asp")
End If
rsGrupo.MoveNext
Loop
Este código nos permite hacer un formulario ligero, sin scripts, muy simple, en la seguridad (siempre relativa) de que será más complicado romper nuestro código inyectando caracteres no deseados en el formulario.

Mejoras a la navegación

Una interesante mejora de la experiencia en Internet la he logrado gracias a la información encontrada en Mike Burgess en mvps.org.

Bajo el lema "en ningún sitio como en casa" o dicho en lenguaje friki-informático "there's no place like 127.0.0.1" nos explica como bloquear paráritos indeseables con un archivo HOSTS.

También tiene entradas para mostrar como bloquear cookies indeseadas y algunas cosas más interesantes, baratas y sencillas para mejorar la seguridad de nuestros delicados ordenadores personales.

Si no lees en inglés es posible que te vaya bien utilizar el traductor de Google:

Bloqueo de parásitos no deseados con un archivo HOSTS

Si ya sabes de qué va esto puedes descargar directamente el archivo hosts.zip más reciente y ponérselo a tu equipo.