nerthase 2.0 » Java

[Java] Invio di File ad una Servlet

nerthase — Fri, 04 Jun 2010 17:37:06 +0000

In Java le Servlet sono il primo strumento con il quale si viene a contatto, se si vuole realizzare una applicazione Web dinamica che interagisca con l’utente. Come sicuramente saprete, le Servlet sono in grado di ricevere le richieste HTTP GET o POST, e di restituire un risultato, che può anche dipendere dai parametri passati tramite la richiesta. Questa semplice caratteristica, è realizzabile grazie all’implementazione dei metodi doGet(…, …) e doPost(…, …) che la classe javax.servlet.http.HttpServlet mette a disposizione.

L’unico vero problema che ho riscontrato fin’ora con l’utilizzo di questa classe, è la limitazione da essa imposta riguardo il tipo di dati che è in grado di prelevare dalle richieste GET e POST che riceve. Infatti, con i due metodi sopracitati, è possibile solo elaborare richieste che contengono campi testuali che non fanno riferimento a codifiche particolari. Un classico esempio di questa limitazione, è l’impossibilità di inviare tramite GET o POST una immagine alla Servlet.

Java non offre nativamente altri strumenti per la gestione di contenuti di diverso tipo, quindi bisogna ricorrere ad una libreria esterna. Una libreria molto semplice ed intuitiva è messa a disposizione da Servlets.com ed è reperibile a questo indirizzo. La libreria in questione è com.oreilly.servlet, ed in particolare la classe che ci serve per raggiungere il nostro scopo, è la classe MultipartRequest. Vediamo di seguito un semplice esempio di utilizzo di quanto detto.

HTML – PHP – JSP

Questa porzione di codice, è quella che implementa il form per la scelta del file da inviare alla servlet. Può essere implementato in qualsivoglia linguaggio Web, ma per semplicità assumiamo di volerlo implementare in html.

1
2
3
4

Alcuni commenti riguardo il codice di cui sopra:

Il form utilizza il metodo HTTP POST per l’invio dei dati
ServletDestinazione è la Servlet che implementa il metodo doPost(…, …) per la ricezione dei dati
multipart/form-data è la codifica dei dati inviati alla Servlet

Java – Servlet

Ed ora vediamo come nella Servlet possiamo recuperare i dati della richiesta.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

import java.io.File;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import com.oreilly.servlet.MultipartRequest;

public class ServletDestinazione extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

String temp_dir = "."; // Directory temporanea per il salvataggio del file
int temp_size = "65536"; // Dimensione massima del file

MultipartRequest mr = new MultipartRequest(request, temp_dir, temp_size);
File f = mr.getFile("file"); // recupero l'oggetto passato nel campo "file"

// Gestione libera del File f
...
}
}

Dal codice di sopra, possiamo notare il semplice utilizzo della classe MultipartRequest e soprattutto delle poche componenti di essa utilizzate. Dai commenti e dai JavaDoc della classe, credo sia abbastanza comprensibile la scelta del costruttore utilizzato, e l’utilizzo del metodo getFile(…) per creare un oggetto File utilizzando l’attributo file della richiesta POST. Questo oggetto File sarà poi completamente manipolabile dalla Servlet senza alcun vincolo riguardo la sua provenienza.

. . .
Link utili

Libreria com.oreilly.servlet

JavaDoc completo della libreria COS

JavaDoc della classe MultipartRequest

Live HTTP Headers: sniffare ed analizzare il traffico HTTP

nerthase — Sat, 15 May 2010 13:16:40 +0000

In un precedente articolo vi ho parlato di come sia possibile effettuare una richiesta POST verso un sito Web utilizzando Java, con il meccanismo dei Socket. Il metodo che vi avevo illustrato si basava principalmente sull’analisi del form presente nella pagina Web che normalmente si occupa dell’invio dei dati. Quindi successivamente in Java, si inviavano i dati al Server Web sostituendosi al Browser ed inviando gli stessi dati che il form avrebbe inviato.

Il problema, o la limitazione principale di questa tecnica, è che non tiene conto di altri eventuali dati che il Browser potrebbe inviare al Server Web. Ad esempio, il Browser quando invia qualsiasi richiesta GET o POST invia anche un identificativo di esso, tramite il parametro User-Agent. Il Server Web che riceve una richiesta GET o POST, potrebbe analizzare i dati che riceve, e non accettare tutte le richieste dove questo parametro non è impostato. Da notare che questo parametro non compare assolutamente nel codice HTTP della pagina.

Il parametro User-Agent non è l’unico utilizzato dai Server Web per scartare richieste non provenienti da Browser comuni. Esistono molti altri parametri, che possono essere utilizzati a tale scopo. In questo articolo, utilizziamo Live HTTP Headers per sniffare tutto il traffico HTTP da e verso il Server Web, per capire quindi come configurare nel migliore dei modi il programma Java visto nel precedente articolo.

Live HTTP Headers è un plug-in per Firefox che permette di monitorare tutte le richieste che il Browser fa al Server Web, e tutte le risposte inviate da esso. In questo modo, è possibile visualizzare esattamente una richiesta POST inviata verso il Server, e quindi riprodurla fedelmente in Java. Nel seguito, vediamo come ci si dovrebbe comportare nel caso in cui si volesse riprodurre in Java un meccanismo di login presso un Sito Web, simile, ma più potente, a quello visto nel precedente articolo.

Login su Facebook

Per realizzare questo esempio ho preso come cavia il sito Web più conosciuto al mondo, Facebook. Il meccanismo di login di Facebook è molto semplice, e del tutto analogo a molti altri metodi utilizzati dalla maggior parte dei siti web.

Come prima analisi del sito, si può visualizzare il codice HTML ed individuare il form che effettua il login. Questo passaggio sarà successivamente reso superfluo dall’uso di Live HTTP Headers, però è comunque interessante capire come realizzano alcune tecniche. Di seguito, potete vedere la porzione di codice HTML dove viene costruito il form dell’immagine precedente.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

<form method="POST" action="https://login.facebook.com/login.php?login_attempt=1" id="login_form">
<input type="hidden" name="charset_test" value="€,�,€,´,水,Д,Є" />
<input type="hidden" id="locale" name="locale" value="it_IT" autocomplete="off" />

<table cellpadding="0" cellspacing="0">
<tr>
<td class="login_form_label_field login_form_label_remember">
<input type="checkbox" class="inputcheckbox" value="1" id="persistent" name="persistent" tabindex="3" />
<label id="label_persistent" for="persistent">Resta collegato</label>
</td>
<td class="login_form_label_field">
<a href="http://www.facebook.com/reset.php" rel="nofollow">Hai dimenticato la password?</a>
</td>
<td class="login_form_last_field login_form_label_field">
</td>
</tr>
<tr>
<td>
<input type="text" class="inputtext DOMControl_placeholder" title="E-mail" placeholder="E-mail" id="email" name="email" value="E-mail" tabindex="1" />
</td>
<td>
<input type="password" class="inputpassword" id="pass" name="pass" value="" tabindex="2" />
<input type="text" class="inputtext hidden_elem DOMControl_placeholder" id="pass_placeholder" name="pass_placeholder" value="" tabindex="2" />
</td>
<td class="login_form_last_field">
<div class="inner">
<label class="uiButton uiButtonConfirm uiButtonMedium">
<input value="Accedi" tabindex="4" type="submit" />
</label>
</div>
</td>
</tr>
</table>

<input type="hidden" name="charset_test" value="€,�,€,´,水,Д,Є" />
<input type="hidden" id="lsd" name="lsd" value="VwSKT" autocomplete="off" />
</form>

Una volta fatta una prima analisi della pagina Web, e di come il form invia i dati al Server, vediamo di iniziare ad imparare ad usare Live HTTP Header. Innanzitutto, bisogna scaricare ed installare il plug-in per Firefox, da link apposito: Live HTTP Headers Download. Una volta installato, il plug-in sarà disponibile dal meù Strumenti.

Una nota molto importante, è che una volta avviato il plug-in, questo visualizzerà tutte le richieste HTTP che al momento Firefox sta effettuando. Quindi abbiate l’accortezza di posizionarvi sulla pagina che volete monitorare, farla caricare completamente, e solo dopo avviare il plug-in. Infatti, come potete vedere dall’immagine seguente, il plug-in è avviato, ma non sta ancora intercettando nulla.

Una volta avviato il plug-in, potete inserire i vostri dati all’interno del form, e successivamente effettuare il login, come fate di solito. Adesso, potete vedere Live HTTP Headers popolarsi di numerose linee di codice, che rappresentano semplicemente le richieste e le risposte che il Browser fa e riceve dal Server Web. Per individuare quale è la richiesta contenente i dati del form, che quindi vi permette di effettuare il login, dovete semplicemente ricercare la prima richiesta POST che è stata effettuata.

Come potete vedere dall’immagine precedente, la richiesta POST è molto più complessa di quella vista e realizzata in Java nel precedente articolo. In questa richiesta infatti, sono presenti molti campi impostati dal Browser e non dal form HTML, che quindi solo in questo modo potete visualizzare. L’ultima riga della richiesta POST, sono invece i dati inviati tramite il form HTML al Server Web, che dipendono esclusivamente ed interamente da come il form è stato implementato.

In quest’altra immagine, ci tengo a farvi vedere che nonostante la vostra password non sia visibile nella casella di testo relativa ad essa e nemmeno nell’URL della pagina, viene comunque inviata al Server Web in chiaro. Quindi semplicemente sniffando le richieste HTTP di un Browser, sarà possibile visualizzare tutte le informazioni trasmesse, soprattutto le password.

Di seguito trovate il codice della richiesta POST per intero, che potete usare per semplice curiosità, o per provare ad implementare una richiesta POST in Java leggermente più completa.

1
2
3
4
5
6
7
8
9
10
11
12
13
14

POST /login.php?login_attempt=1 HTTP/1.1
Host: login.facebook.com
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10.6; it; rv:1.9.2) Gecko/20100115 Firefox/3.6
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: it-it,it;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 115
Connection: keep-alive
Referer: http://www.facebook.com/
Cookie: datr=1273922752-7f53f02bbc25f61b71562a08d1db5c02169342202a5a2c11c0482; lsd=VwSKT; reg_fb_gate=http%3A%2F%2Fwww.facebook.com%2F; reg_fb_ref=http%3A%2F%2Fwww.facebook.com%2F; test_cookie=1
Content-Type: application/x-www-form-urlencoded
Content-Length: 236
charset_test=%E2%82%AC%2C%C2%B4%2C%E2%82%AC%2C%C2%B4%2C%E6%B0%B4%2C%D0%94%2C%D0%84&locale=it_IT&email=email_login%40email.com&pass=tua_password&charset_test=%E2%82%AC%2C%C2%B4%2C%E2%82%AC%2C%C2%B4%2C%E6%B0%B4%2C%D0%94%2C%D0%84&lsd=VwSKT

Spero che questo semplice esempio sia utile a molti di voi, e preciso che non è stato realizzato con secondi fini e non è stato scelto il sito di Facebook a caso. Facebook infatti impone molti ulteriori controlli quando si tenta di effettuare il login, che rende quindi impraticabile la realizzazione in Java di un programma apposito. Per effettuare un login su Facebook, ma anche molte altre operazioni, sono disponibili API che consentono di usare molti degli strumenti di Facebook in modo molto semplice e soprattutto consentito.

Java: HTTP POST con Socket

nerthase — Sat, 24 Apr 2010 21:39:16 +0000

Come potete vedere nei precedenti articoli riguardanti il Brute Force in Java e i vari metodi di attacco per le password, la sicurezza informatica è uno degli aspetti dell’informatica che preferisco, soprattutto per quanto riguarda la sicurezza in Internet. Vi sembrerà strano, ma non potete immaginare quanta gente dia per scontato il fattore sicurezza mentre naviga in rete, crea account e soprattutto quanto sceglie la password.

Proprio sulla scelta della password vorrei soffermarmi un attimo con una piccola considerazione, basata su dati statistici. Infatti, secondo alcuni studi, la password usata più spesso dagli utenti è la stringa “123456″. Questo dato mi è sembrato sconvolgente, ma posso assicurarvi che è molto realistico. Su questo argomento credo di fare a breve un articolo più approfondito, quindi per ora consideriamo semplicemente l’aspetto che riguarda Java, ed in particolare come fare una richiesta http usando il metodo POST, sfruttando i Socket.

I due argomenti sopra citati sono strettamente collegati, in quanto le applicazioni web sono costruite essenzialmente sfruttando il metodo GET per le varie richieste. Il metodo POST viene usato per elementari requisiti di sicurezza per la trasmissione di dati sensibili, quali appunto username e password al momento del login su un servizio web. Il metodo che vi mostro quindi, può essere appositamente adattato per effettuare un login su un’applicazione web usando Java. Un esempio concreto di ciò, potrebbe essere la creazione di un’applicazione Java che effettua una connessione all’applicazione web per effettuare determinate operazioni.

Solitamente una applicazione web che richiede il login, ha una porzione della pagina che effettua una richiesta POST verso una specifica pagina che si occupa di verificare la correttezza dei dati forniti:

1
2
3
4
5

Per realizzare il nostro scopo, dobbiamo analizzare la pagina specifica, ed annotare la struttura del messaggio inviato tramite POST, e la pagina che riceve i dati, che è specificata nel parametro action dell’elemento form.

Per quanto riguarda la parte Java, questo è un esempio di come realizzare la richiesta POST usando solo le Socket.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

import java.io.BufferedReader;
import java.io.BufferedWriter;
import java.io.InputStreamReader;
import java.io.OutputStreamWriter;
import java.net.InetAddress;
import java.net.Socket;
import java.net.URLEncoder;

public class SocketPost {
public static void main (String args[]) {
String host = "HOST-WEB-APP";
int port = 80;
String form_action = "PAGINA-DI-LOGIN";

String username = "TUO-USERNAME";
String password = "TUA-PASSWORD";

boolean result = login(host, port, form_action, username, password);
}

private static boolean login (String host, int port, String form_action, String username, String password) throws Exception {
// Dati da inviare tramite POST
// Copmosizione tipica: username=TUOUSER&password=TUAPASSWORD
String data = URLEncoder.encode("username", "UTF-8") + "=" + URLEncoder.encode(username, "UTF-8") + "&" +
URLEncoder.encode("password", "UTF-8") + "=" + URLEncoder.encode(password, "UTF-8");

// Creo il Socket per la connessione all'host
InetAddress addr = InetAddress.getByName(host);
Socket socket = new Socket(addr, port);

BufferedWriter wr = new BufferedWriter(new OutputStreamWriter(socket.getOutputStream(), "UTF-8"));

wr.write("POST " + form_action + " HTTP/1.0\r\n");
wr.write("Host: " + host + "\r\n");
wr.write("Content-Length: " + data.length() + "\r\n");
wr.write("\r\n");

// Invio i dati tramite POST
wr.write(data);
wr.flush();

// Leggo la risposta dall'host
BufferedReader br = new BufferedReader(new InputStreamReader(socket.getInputStream()));

// Solitamente, in caso di pagine di login,
// il codice di risposta per un login valido è 302
if (br.readLine().equals("HTTP/1.1 302 Found")) return true;
else return false;

wr.close();
br.close();
}
}

Prima di poter essere in grado di riempire il codice Java, bisogna analizzare il sito presso il quale si vuole effettuare il login, per estrapolare tutti i dati necessari. Questa operazione non richiede un particolare sforzo, ma un minimo di esperienza è sempre d’obbligo. Se avete bisogno di una mano, potete chiedere tranquillamente. Il metodo su illustrato è stato realizzato solo a scopo illustrativo e deve essere utilizzato solo in possesso delle credenziali di accesso, e non per scopi malevoli.

MySQL con Java grazie a JDBC

nerthase — Tue, 09 Mar 2010 20:55:35 +0000

Nei miei ultimi esperimenti con Java, mi è capitato di dover interagire con database MySQL. Per la parte che riguarda il database, ho sempre usato MAMP, un ottimo programma che gestisce in una semplice interfaccia grafica, Apache, MySQL e PHP.

Per far comunicare Java ed il database MySQL c’è bisogno di un driver, in particolare ho usato JDBC. Un esempio di utilizzo del driver è il seguente:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;

public class DataBaseTest {
public static void testDB () throws Exception {
// Carico il Driver
Class.forName("com.mysql.jdbc.Driver");

// Connetto al Database (URL DB, USER, PWD)
Connection db = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "root");

// Creo uno Statement per l'invio della query
Statement s = this.db.createStatement();

// Invio la query e catturo i risultati
ResultSet rs = s.executeQuery("SELECT nome FROM tabella WHERE nick = 'nerthase'");
boolean o = rs.first();

// In caso non siano stati trovati risultati, inserisco l'entry nel database
if (!o) s.executeUpdate("INSERT INTO tabella (nome, nick) VALUES ('mario', 'nerthase')");
s.close();
}
}

Questo codice, implica che sia stato creato un database chiamato test con una tabella chiamata tabella costituita da almeno due campi chiamati nome e nick. Il particolare questo piccolo esempio di codice, verifica se nella tabella è presente una entry che verifica la condizione nick = ‘nerthase’, ed in caso questa non è presente, inserisce la entry completa corrispondente. Un esempio di tabella usata per il test potrebbe essere il seguente:

nome	nick
silvia	moonny
fabio	noeffex
mario	nerthase

Questa è la mia prima esperienza con MySQL e soprattutto per l’integrazione con Java. Questo metodo però funziona molto bene, senza alcun errore, almeno per il momento. Per consigli o chiarimenti non esitate a contattarmi.

Algoritmo di Vigenere

nerthase — Wed, 03 Mar 2010 21:26:51 +0000

Come ormai avrete capito, la crittografia e la sicurezza informatica sono argomenti che mi appassionano molto. Oggi infatti, ho realizzato un piccolo tool per la decifrazione di semplici messaggi cifrati tramite l’algoritmo di Vigenere. Questo tool si limita a provare tutte le possibili chiavi, ed a stampare a video tutte le possibili soluzioni. Dovrete essere voi poi, ad individuare quella giusta. Questo tool si appoggia al codice per il Brute Force di cui abbiamo parlato in questo articolo. Ma veniamo direttamente al codice:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

public class Crack
{
public static void main(String[] args)
{
// Testo cifrato
String cypher = "testocifrato";

// Uso chiavi di 6 caratteri
BruteForce bf = new BruteForce(null, null, 6);

String key;
while ((key = bf.prossimaPermutazione()) != null)
{
// Decifro
String plaintext = "";

// Decifro un carattere alla volta
for (int i = 0 ; i < cypher.length() ; ++i)
{
// Carattere i-esimo
char cypherchar = cypher.charAt(i);
char keychar = key.charAt(i % key.length());

// Calcolo la posizione del carattere nell'alfabeto
int poschar = (int) cypherchar;
int poskey = (int) keychar;

// Trasformo il carattere cifrato in quello in chiaro
int offset = poschar - poskey;
int posplain = (((offset < 0) ? offset + 26 : offset % 26) + ((int) 'a'));

plaintext += (char) posplain;
}

System.out.println("Key: " + key + " " + plaintext);
}
}
}

Come vedete, il codice è molto semplice. Si limita solo a decifrare ogni volta il messaggio, con tutte le possibili chiavi. Per maggiori informazioni sull’implementazione dell’algoritmo, potete visitare la voce di Wikipidia su Vigenere.

jDownloader: RapidShare e MegaUpload senza limiti

nerthase — Sat, 27 Feb 2010 21:14:08 +0000

jDownloader è un utilissimo programma open source scritto completamente in Java, e quindi compatibile con tutti i sistemi operativi che lo supportano. Il suo scopo è quello di scaricare file da siti come RapidShare e MegaUpload, ma anche tanti altri come loro. jDownloader si occuperà di attendere la disponibilità del download al posto nostro, ed effettuerà anche il bypass dei codici CAPTCHA spesso utilizzati da siti del genere.

Ma le novità e le potenzialità di jDownloader non sono finite qui. Esso infatti è in grado di effettuare il download di filmati di YouTube, MegaVideo e quanto altro possiate immaginare. Inoltre ha anche l’opzione per effettuare i download usufruendo di un account premium in vostro possesso. E se invece non possedete un account premium, jDownloader si occuperà di effettuare un cambio di IP per il vostro computer, in modo da evitare controlli e barriere applicati da alcuni siti di File Sharing.

Dopo questa breve panoramica per questo meraviglioso software, veniamo ad una breve guida di configurazione ed utilizzo:

Dopo l’installazione, è necessario settare alcune impostazioni iniziali per l’utilizzo del software,

Impostiamo il percorso per i nostri download ed il comportamento che jDownloader dovrà adottare per i file scaricati. Queste semplici impostazioni sono già sufficienti per iniziare ad effettuare il download dei nostri file.

Come vi dicevo prima, jDownload è in grado di cambiare l’IP del nostro computer mediante una riconnessione del router. Questa impostazione è molto utile nel caso di siti di File Sharing che effettuano controlli su IP. Basterà individuare il modello del nostro router, selezionare “Ottieni IP router” ed infine “Crea script di riconnessione“. Automaticamente jDownloader creerà uno script ad hoc per il nostro router in grado di effettuare una riconnessione, e quindi il cambio di IP.

Per chi di noi possiede un account premium, può usarlo tramite jDownloader per scaricare al massimo della velocità con il massimo della comodità. Sono supportati più di 100 servizi di Hosting.

jDownloader ha la possibilità di intercettare il contenuto degli appunti di sistema. In pratica ci basterà individuare su internet l’elenco dei link del file che vogliamo scaricare, copiarli e spostarci su jDownloader. Il programma avrà già intercettato i nostri appunti, e sarà in corso l’analisi dei link. Se al termine dell’analisi i file che si desidera scaricare sono tutti online, basterà premere il tasto “Continua” per iniziare il download.

jDownloader è in grado di estrarre i file una volta scaricati, anche se protetti da password, e di unirli in un unico file, come da origine. Voi non dovrete fare assolutamente nulla.

. . .

jDownloader è un software molto completo e funzionale. Lo sviluppatore rilascia continui aggiornamenti, che ne garantiscono il funzionamento continuo. Adesso vi lascio alcuni link per il download del programma e delle dipendenze necessarie:

Generatore di Password

nerthase — Sat, 27 Feb 2010 00:09:13 +0000

Dopo aver visto come creare una password sicura, e come evitare di farsi rubare la propria password, non poteva mancare un programma per la generazione di password robuste, ma allo stesso tempo facili da ricordare.

Il programma da me realizzato, si chiama Mnemonic Password Generator, e ha lo scopo di generare una password diversa per ogni servizio che voi utilizzate. Questa password inoltre, sarà basata su vostri dati personali, e quindi facile da ricordare. Ad esempio, basterà dire al programma che io mi chiamo Mario, nato a Settembre, e che voglio una password per Twitter, ed una possibile password che il programma mi proporrà, potrebbe essere mario09twitter. Come potete vedere questa password è molto facile da ricordare, ma ha tutti gli elementi necessari per durare a lungo contro attacchi di hacker, cracker e malintenzionati.

Mnemonic Password Generator è stato realizzato in Java ed offre tutte i controlli necessari a personalizzare la propria password preferendo facilità o sicurezza. Il programma non fa alcun uso delle password generate e/o dei dati inseriti. Questi ultimi sono richiesti al solo scopo di generare una password che sia adatta a voi, e quindi facile da ricordare. MPG (sigla del programma) memorizza i dati da voi inseriti (ma non la password) in un file temporaneo sul vostro computer. L’unico scopo di questo salvataggio, è di evitarvi di riempire tutti i campi ogni volta. Potete, comunque, in qualunque momento eliminare il file contenente questi dati.

Il programma Mnemonic Password Generator è disponibile per il download per diverse piattaforme:

Mnemonic Password Generator compatibile con Windows XP / Vista / Seven

Non necessita di installazione. Applicazione portabile.

Mnemonic Password Generator compatibile con Mac OS X v10.5 e successive

Versione sviluppata su piattaforma Mac OS X 10.6 e quindi pienamente compatibile.

Mnemonic Password Generator compatibile con Linux ed altre piattaforme

Versione Universal Binary dell’applicazione. Funziona su qualsiasi sistema.

Per malfunzionamenti o problemi di vario genere, sono a vostra completa disposizione.

Password: come evitare il Crack

nerthase — Fri, 26 Feb 2010 00:33:46 +0000

Dopo avervi parlato del Brute Force, delle sue applicazioni e avervi rilasciato un esempio di codice Java che lo implementa, vi voglio parlare delle PASSWORD, della loro importanza, e soprattutto dell’attenzione che bisogna avere al momento di sceglierne una.

Analizziamo prima alcuni dati fondamentali:

Con un semplice programma Java, un tentativo di login presso un sito richiede meno di un secondo;
La lunghezza media delle password più usate è di 6 caratteri (il minimo che forum come phpBB permettono);
Se nella password di 6 caratteri sono usati solo numeri (data di nascita) i casi possibili sono 10⁶ = 1000000;
Se nella password di 6 caratteri sono usate solo lettere, i casi possibili sono 21⁶= 85766121;
Se la password è una parola italiana di senso compiuto, abbiamo questi valori relativi alla lunghezza:
- Parole italiane di 6 caratteri: 13545
- Parole italiane di 7 caratteri: 25802
- Parole italiane di 8 caratteri: 35409
- Parole italiane di 9 caratteri: 46069
- Parole italiane di 10 caratteri: 47932

Detto questo, i conti sono presto fatti. Un possibile malintenzionato, sicuramente partirebbe a tentare le password che richiedono il minor numero di tentativi:

Attacco a dizionario

Questo tipo di attacco, è uno dei più semplici ma anche dei più riusciti. Se non vi sembra possibile, provate a ricordare, se avete mai pensato di inserire come password il nome di un vostro animale preferito, della vostra ragazza, della vostra auto preferita, e molto altro ancora… Tutte queste parole in genere sono presenti nel dizionario italiano, o in alcuni dizionari che Hacker o Cracker si costruiscono arricchendo il dizionario italiano, con parole aggiuntive, che potrebbero essere usate come password.

Facendo due rapidi calcoli, l’attaccante impiegherebbe:

Password di 6 caratteri: 13545 tentativi x 1 secondo = 13545 secondi = quasi 4 ore
Password di 7 caratteri: 25802 tentativi x 1 secondo = 25802 secondi = quasi 8 ore
. . .

Vediamo subito che in un giorno, la nostra password potrebbe essere facilmente violata. Per questo è sempre consigliabile adottare password che non sono presenti in un dizionario, o combinare due parole di senso compiuto, o alternare parole e numeri. In pratica allungare la password, e spaziare tra caratteri e numeri.

Attacco a Forza Bruta (Brute Force)

Questo tipo di attacco, sicuramente è conosciuto da tutti, se non altro per il mio precedente articolo. In questo caso l’attaccante proverà inizialmente password numeriche, perché come ben sapete, molti di noi ancora usano come password la propria data di nascita. Purtroppo proprio queste password, sono quelle che vengono violate più spesso, non da attaccanti esterni, ma da conoscenti che si divertono ad incasinare la vita altrui.

Comunque, un possibile attaccante questa volta impiegherebbe:

Password di 6 caratteri composta da soli numeri: 10⁶ tentativi x 1 secondo = più di 10 giorni
Password di 6 caratteri composta da sole lettere: 21⁶ tentativi x 1 secondo = più di 2 anni

Questi valori così elevati non devono affatto rassicurarvi, perché come vedremo più avanti, l’ipotesi di impiegare un secondo per tentare una password, è si realistica, ma molto obsoleta.

Phishing

Questo tipo di attacco, è uno dei più subdoli che possa esistere. Basato sull’Ingegneria Sociale, trae l’utente in inganno, in modo che sia egli stesso a fornire la password all’attaccante. Ormai si sentono notizie tutti i giorni su persone cadute in un attacco del genere. Il problema più grande, è generato dal fatto che questo attacco è semplicissimo da applicare, e che le persone non prestano mai attenzione quando forniscono i propri dati personali.

Il phishing in pratica consiste nel creare una falsa pagina di login (ad esempio una copia esatta della pagina di login del sito delle poste) e fornirla agli utenti in svariati modi (e-mail, forum, newsletter etc…). L’utente, ad esempio, riceve una e-mail in cui gli viene gentilmente chiesto di controllare periodicamente il suo conto Banco Posta presso il link fornito (che non punterà al sito delle Poste Italiane, ma bensì alla falsa pagina di login creata dall’attaccante). L’utente, riconoscendo visivamente la pagina di login, inserirà senza problemi i propri dati personali. Ed è qui, che ha perso tutto quello che possedeva.

Per evitare questo tipo di attaccho, basta prestare attenzione ai link che si visitano, e soprattutto all’URL della pagina nella quale forniamo i nostri dati. Verifichiamo che sia sempre la giusta pagina, e possibilmente, che usi il protocollo https.

Attacco distribuito

Questo non è un vero e proprio attacco, ma è un’evoluzione dei primi due attacchi che abbiamo visto. Infatti, per ridurre i tempi per portare a segno un attacco, non si usa un solo computer, ma se ne usano diversi, dividendosi i compiti. Se avete letto il mio recente articolo sul Puzzle Distribuito sapete di sicuro di cosa vi sto parlando.

In pratica, con un attacco a dizionario per parole di 6 lettere, usando un solo computer, venivano impiegate 4 ore. Se lo stesso attacco, fosse portato a compimento usando 4 computer, e dividendosi equamente le 13545 parole di 6 lettere, impiegherebbe solamente un’ora. Usando ancora più computer, questo attacco potrebbe impiegare pochi minuti. Un miglioramento di prestazioni elevato però, potrà essere quantificabile solo se il numero dei computer coinvolti è molto elevato. Pensate che un attacco a Forza Bruta usando caratteri e numeri potrebbe essere compiuto in meno di un giorno, invece dei 2 anni precedentemente calcolati.

Se vi state domandando come possano, eventuali Hacker o Cracker avere a disposizione una simile potenza di calcolo, vi dico un solo termine: Trojan. Sicuramente nella vostra vita, avete ricevuto almeno un allarme dall’antivirus, in cui vi veniva notificata la presenza di un Trojan all’interno del vostro computer. I Trojan non sono veri e propri virus che infettano e/o compromettono il vostro computer. Bensì sono dei cavalli di Troia che possono eseguire all’interno del vostro computer operazioni senza il vostro consenso. Spesso questi Trojan infettano milioni di computer restando apparentemente innocui per un lungo periodo di tempo. Infatti, è dopo aver infettato il giusto numero di macchine, che questi Trojan entrano in azioni, comandati da un Server centrale. Il Server comunicherà quindi ai Trojan il sito bersaglio, dividerà le possibili password tra i vari computer infettati, e l’attacco sarà compiuto in un batter d’occhio. Se ci pensate bene, è lo stesso sistema che ho usato io nella realizzazione del Puzzle Distribuito. Un semplice e banale sistema, che però può compromettere la sicurezza di intere strutture, in un tempo brevissimo.

Dopo essermi tanto dilungato, concluderei semplicemente con il consigliarvi di utilizzare password abbastanza robuste, che non siano individuabili con un semplice attacco a dizionario o Brute Force usando solo lettere o numeri. Usate sempre lettere E numeri, e perché no, anche qualche carattere speciale. Tanto i tasti della tastiera li abbiamo pagati tutti, quindi perché non usare anche il simbolo § che altrimenti non sappiamo mai dove mettere?

Puzzle risolto con l’elaborazione distribuita

nerthase — Thu, 25 Feb 2010 15:57:01 +0000

Dopo avervi parlato dell’ultimo progetto realizzato per l’università, un semplice motore di ricerca che aggrega i risultati di Google, YouTube e Wikipedia, voglio condividere con voi il progetto che ho realizzato come Prova Finale per la Laurea Triennale. Si tratta di un sistema distribuito Client/Server applicato alla risoluzione di un Puzzle.

Il Puzzle Distribuito

Il Puzzle Distribuito è un progetto che simula quello che nella realtà è un puzzle, dalla sua origine (la creazione dei pezzi) al lavoro fatto dalle persone per riunire i pezzi e formare l’immagine originale. Un puzzle reale per essere risolto necessita, a volte, di tempi molto lunghi, i quali però si possono ridurre se nella risoluzione del puzzle partecipano più persone. Questo effetto nel Puzzle Distribuito è simulato attraverso l’uso dell’elaborazione distribuita.

L’elaborazione distribuita

L’elaborazione distribuita può essere facilmente descritta come lo sforzo di unire un complesso di macchine connesse in rete in modo che l’informazione o altre risorse possano essere condivise da tutte le macchine connesse. La speranza è che la divisione possa aver luogo su grandi aree, molte macchine e molti utenti, unificandoli in una consistente e coerente struttura. In questa particolare applicazione dell’elaborazione distribuita, sono presenti un sistema centrale, e molti sistemi decentralizzati che gestiscono i calcoli. In questo modo si può trarre vantaggio dalla potenza di calcolo e dalla memoria disponibile su una possibile vasta rete di computer. Il sistema centrale, invece, ha il compito di stabilire la connessione tra i nodi della rete e coordinare i risultati del calcolo.

Come il mio solito, vi rendo partecipi dei miei progetti attraverso un semplice video. Questa volta metto a disposizione anche la mia Relazione per la Prova Finale, che potete consultare per capire meglio il funzionamento del Puzzle Distribuito.

Per ulteriori informazioni non esitate a contattarmi. Durante lo sviluppo del progetto ho spesso ricorso ad Internet per dubbi o aiuti sulla programmazione, quindi mi fa piacere condividerlo con voi.

Google, YouTube, Wikipedia insieme in People Finder

nerthase — Tue, 23 Feb 2010 16:11:24 +0000

Oggi voglio condividere con voi il progetto che ho realizzato con alcuni compagni di Università qualche tempo fa. People Finder, questo è il nome del progetto, nasce dall’esigenza di molti di avere a disposizioni informazioni di diverso genere a natura, tutto su un’unica pagina Web.

People Finder realizza proprio questo. People Finder permette di effettuare ricerche su personaggi famosi (ma potete spaziare su qualsiasi genere vogliate), e restituisce i risultati della ricerca, interrogando a sua volta Google Immagini, YouTube e Wikipedia. Come potete vedere dall’immagine seguente, tutte le informazioni vengono visualizzate in una singola pagina, e messe così a completa disposizione dell’utente finale. In particolare, in People Finder, potrete navigare tra le prima 16 immagini restituite da Google inerenti al personaggio desiderato, o tra 4 video dello stesso, ognuno avente un diverso criterio di valutazione, il tutto effettuando una sola ricerca, e su una sola pagina.

People Finder è stato realizzato in Java ed usa diverse librerie esterne per la gestione di Google, YouTube ed altro ancora. Per essere reso disponibile a tutti gli utenti, senza necessità di software di installazione, è stato sviluppato con tecnologia Web, e quindi il fulcro di People Finder è proprio la pagina JSP che si visualizza al momento della ricerca.

Come potete vedere nel video seguente, la navigazione tra le immagini ed i video è veramente immediata ed intuitiva. Inoltre viene messa in risalto la descrizione iniziale che Wikipedia offre del personaggio cercato. Nel resto della pagina, viene riportato il contenuto della pagina di Wikipedia, ovviamente ripulita e riorganizzata. People Finder è stato progettato e realizzato avendo cura di occupare il minor numero di risorse possibile, soprattutto per quanto riguarda la banda a disposizione.

Ma non è finita qui. People Finder può essere usato anche senza una connessione internet. Infatti è disponibile un piccolo applicativo da poter usare sul proprio computer, che permette di effettuare ricerche, di qualsiasi genere, e fornire i risultati interrogando la base documentale precostruita. Questa base documentale può essere completamente personalizzata, arricchita e adattata alle proprie esigenze. Quando si effettuano modifiche alla base documentale, c’è bisogno di ricostruirla per poter poi essere di nuovo utilizzata. Questo è l’unico momento in cui è necessaria una connessione internet.

I documenti all’interno della base documentale, vengono prelevati direttamente dal Web, utilizzando il portale di People Finder, ma questa volta limitandosi ai soli risultati di Wikipedia. Una volta collezionati questi documenti, vengono indicizzati esattamente nello stesso modo utilizzato da Google, ma con algoritmi diversi. Sarà quindi possibile effettuare ricerche libere, senza essere vincolati a ricercare esattamente il personaggio desiderato. L’utilizzo del software è mostrato nel seguente video.

People Finder è stato realizzato come progetto universitario, ma come potete vedere ha tutte le caratteristiche e potenzialità per essere usato e distribuito nel mondo reale. Avere una galleria di immagini, una galleria di video e la descrizione accurata e controllata di Wikipedia come risultato della ricerca, il tutto in una sola pagina, è per molti ancora un’utopia, che costringe ad effettuare più volte la stessa ricerca, per ottenere risultati di natura diversa, offerti da portali diversi.