Witam, mam pewne dość specyfincze pytanie(a). Chodzi mi o zabezpieczenie aplikacji Java EE (uwierzytelnianie i autoryzacja). Java oferuje uwierzytelnienia różnych typów (Basic, Digest, Form Based). Basic i Digest przesyłają hasła jawnie więc chyba całkowicie odpadają, czy Form Based jest w znaczący sposób lepsze? Nazwa użytkownika i hasła przesyłana jest poprzez metodę POST HTTP więc skanując sieć można chyba takie dane przechwycić bez problemu. Wiem, że można wszystko robić przez HTTPS (trzeba wykupić certyfikat, tak?) i wtedy dane są szyfrowane. A jak jest to robione w większość aplikacji/stron które z https nie korzystają? Czy zawsze te dane przesyłane są jawnie i dopiero, gdy dotrą do serwera hasło jest szyfrowane i składowane w bazie (w przypadku rejestracji)? Jakby ktoś mógł mi to trochę rozjaśnić to byłoby super : P. Ewentualnie jakiś artykuł jak to jest robione we współczesny aplikacjach czy normalnych stronach internetowych. Pozdrawiam
Form i basic authentication są tak samo niebezpieczne jak uzywasz HTTP: mozna podluchac hasla snifferem (plain text). Potrzbujesz HTTPS. Mozesz uzywac certyfikatu podpisanego przez siebie, bedzie dzialal, ale musisz zaakceptowac wyjatek.
I wtedy używać Form? Mam rozumieć że na każdej stronie internetowej / aplikacji na której logujemy się przez zwykły HTTP, dane można dosyć łatwo wyciągnąć (np. skanując ruch w sieci lokalnej)? Jeśli tak to wydaje się, iż HTTPS to mus, chociaż nie na każdej stronie występuje. To jeszcze pytanie odnośnie składowania haseł. Zazwyczaj są one przetrzymywane w bazie jako hash (np MD5). Ale to hashowanie wykonywane jest po stronie serwera więc "admin" może je sobie podejrzeć przed tym procesem tak? Zaleta z tego taka że jak ktoś włamie się do bazy to nie dostanie haseł "na tacy". Dobrze rozumiem?
Dlaczego JEE a nie Spring framework?
Dopiero zaczynam nauke aplikacji webowych więc wydawało mi się, że warto zacząć od Javy EE.
- Czy w springu łatwiej zrealizować autoryzację i uwierzytelnienie?
- Chciałbym również wrócić do wcześniejszego pytania. Tzn jak to jest z tym przesyłaniem loginu/hasła we współczesnych aplikacjach/stronach internetowych. Czy zawsze (w HTTP) one są przesyłane tekstem jawnym (lub łatwe do odkodowania)? Jakie są standardy jeśli nie stosuje się HTTPS ?
Pozdrawiam.
Ad 1. Na początku łatwiej jest skorzystać ze Spring Security niż z autoryzacji i uwierzytelniania w Javie EE. Warto nadmienić że Java EE 8 przyniesie coś co się nazywa "Java EE Security API 1.0", standard, który znacząco ułatwia konfigurację zabezpieczeń naszej aplikacji.
Ad 2. Istnieją sposoby na takie przesyłanie hasła protokołem HTTP (bez HTTPS) tak, aby nikt nie był w stanie tego hasła przechwycić, jednak wykorzystanie HTTPS upraszcza sprawę.
Dzięki za odpowiedź.
- I rzeczywiście te metody są stosowane, czy jednak w większość aplikacji/ stron internetowych wszystko jest przesyłane jawnie?
- Czyli zastosowanie uwierzytelnienia Form w Javie EE oraz HTTPS jest wystarczające jeśli chodzi o bezpieczeństwo?
Przejrzę jeszcze tego Springa, chociaz gdzieś przeczytałem że jeśli ogarnie się Java EE to ze springiem potem łatwo i na odwrót.
Spring ogólnie jest dużo sensowniejszy niż "czysta" JEE
A jeśli się dopiero uczysz to według mnie nie ma co się skupiać na tych zagadnieniach typu HTTP czy HTTPS (warto oczywiście wiedzieć co to ale nie przejmować sie przy programowaniu)
Do takich tematów bierze się raczej "starszych" developerów a jak za bardzo będziesz chciał się na tym skupić stracisz dużo czasu :P
Wystarczy na początek żebyś wiedział o kodowaniu hasła rolach zabezpieczeniu na tej podstawie URLi a reszta później
No właśnie ale jakim kodowaniu hasła : P? Bo każdy pisze użyj HTTPS... to masz na mysli przez kodowanie? Uczę się tak, ale chciałbym to robić wykonując jakiś prosty projekcik w którym właśnie jest to logowanie. Zawsze lepiej robi się rzeczy, które się "podobają" : D Więc chciałbym wiedzieć trochę więcej o tym.,. Większa część tutoriali opisuje tylko poszeczgólne metody (BASIC, DIGEST, FORM) dodając na końcu że nie są one zbyt bezpieczne, dlatego mam trochę mętlik w głowie.
Chodziło mi o hashowanie hasła w bazie danych
http://docs.spring.io/autorepo/docs/spring-security/4.0.4.RELEASE/apidocs/org/springframework/security/crypto/password/PasswordEncoder.html
Funkcje skrótu są w Apache Commons Encodings nie trzeba do tego Spring Security w podstawowych wersjach w JDK. Istotne, aby pamiętać o zasoleniu hasła.
Ok to dzięki za wszystkie odpowiedzi. Tylko jeszcze jedna prośba, skoro polecacie Springa na początek to można prosić o jakiś aktualny tutorial? Java EE wybrałem też właśnie z tego względu że mają dość szczegółowy i aktualny (ee 7) opis wszystkiego. Na stronie Spring'a znalazłem tylko kilkanaście przykładów z użyciem Spring Boot (btw, warto z tego korzystać?). Istnieje jakaś stronka bądź książka, gdzie znajdę jakiś aktualny tutorial?
Osobiście preferuje JEE nad Springiem, więc to subiektywne. Używaj co się bardziej podoba / z czym prościej wystartować. EE 8 będzie jeszcze prostsze. BTW. Możesz używać Spring Security razem z JEE, ale do nauki nie potrzebujesz takich kombajnów. Dla nauki najlepiej zrób sobie prosty filtr do logowania: poznasz lepiej API servletow i zrozumiesz jak dzialaja frameworki typu Shiro czy Spring Security.
Na stronie Spring'a znalazłem tylko kilkanaście przykładów z użyciem Spring Boot (btw, warto z tego korzystać?). Istnieje jakaś stronka bądź książka, gdzie znajdę jakiś aktualny tutorial?
WUT?
http://docs.spring.io/spring/docs/current/spring-framework-reference/htmlsingle/
A JEE teraz goni za Springiem nie odwrotnie, w 2017 będzie Spring 5 który przebije JEE, spring jest znacznie potężniejszy od JEE,możesz używać różnych jego komponentów nie tylko w Webie
O kurde, tego tam nie znalazłem : D. Dzięki za podlinkowanie, to jeszcze pytanko odnośnie tego Spring Boota, z tego co czytałem to jest to dobra opcja dla początkujących, tylko troche się obawiam, że potem będzie ciężko przejść na "normalną wersję". Czy się mysle?
To nie tak. Spring Boot to tak na prawdę zbiór konfiguracji dla 'normalnego' Springa. Dostajesz defaultowe ustawienia i nadpisujesz to, co ci nie pasuje. Stawiasz projekt i po 30 minutach masz działającą aplikację. Przejście z Boota na Springa poza typową konfiguracją jest nieodczuwalna.
scibi92 napisał(a):
Dlaczego JEE a nie Spring framework?
Dlatego że zdrowiej jest się uzależnić od JEE niż od Springa? Stykam się ze Springiem od wielu lat, i to jest tak, że wdepniesz w jedną funkcjonalność, i masz pól frameworku w zależnościach.
Po zmianach w JEE (jest "lżejsze" czy abrdziej "ludzkie") przemieściłem się na pozycję krytycznych wobec Spriga.
Moim zdaniem Boot jest właśnie złą opcją dla początkujacych bo coś sie dzieje i nie rozumiesz czemu ani co. Boot jest fajny jak już rozumiesz co się dzieje i jak coś skonfigurować, ale chcesz oszczędzić czas/wysiłek i ładujesz sobie pewne defaulty.
Nie ufam frameworkom które ukrywają web.xml :D