Doorsturen van Sessie naar andere taal

[BlackHawkDesign]

Beste Tweakers,

We hebben hier een probleem, waar we mogelijk een oplossing voor hebben, maar ik twijfel over de veiligheid er van. Het volgende is aan de hand:

We hebben een applicatie die in asp werkt. Deze moet worden geïntegreerd in een asp.net applicatie. We dachten daarvoor simpel een iFrame of iets in die trend te gebruiken. Voor beiden applicaties moet je inloggen en we willen dan graag de sessie 'doorgeven'. Nou kan dit niet zomaar en de enige methode die we konden vinden is dit doormidden van get of post variabelen te doen.

Mijn vraag is, kunnen we dat zo doen, of hebben we er dan een beveiligingslek erbij? Eerst dacht ik van wel, maar als ik me nu zo bedenk, bij het inloggen gaat het ook zo. Dus zie ik dit goed, of zie ik dingen over het hoofd.

Alvast bedankt

[Janoz]

Sowieso niet de sessie variabelen via get en post doorgeven. Bij sessievariabelen wil je er van uit kunnen blijven gaan dat de gegevens enkel beinvloedbaar zijn vanuit je eigen code, en niet rechtstreeks door wat de client opstuurt.

Wat je beter kunt doen is het volgende:

Zorg dat beide applicaties rechtstreeks met elkaar kunnen communiseren, dus niet via de client. Vervolgens genereer je een token (random tekenreeks, dus GEEN md5 van een stuk data ofzo). De ene applicatie geeft de sessie gegevens rechtstreeks aan de andere applicatie en geeft daarbij dat token mee. Vervolgens stuurt de applicatie een redirect naar de client met ook dat token. De ontvangende applicatie krijgt dus eerst rechtstreeks een bak sessiedata binnen, en vervolgens een bezoeker met bijbehorende token.

Om dit zo veilig mogelijk te houden zorg je daarnaast ook dat het token maar een paar secoden geldig is.

[BlackHawkDesign]

Bij sessievariabelen wil je er van uit kunnen blijven gaan dat de gegevens enkel beinvloedbaar zijn vanuit je eigen code, en niet rechtstreeks door wat de client opstuurt.

Mee eens

Zorg dat beide applicaties rechtstreeks met elkaar kunnen communiseren, dus niet via de client.

Duidelijk, maar hoe kan ik de applicatie direct met elkaar praten, hoe zie je dat voor je? Door middel van bijvoorbeeld een xml bestand of tabel in een database ofzo?

[beany]

BlackHawkDesign schreef op dinsdag 05 mei 2009 @ 10:30:
Duidelijk, maar hoe kan ik de applicatie direct met elkaar praten, hoe zie je dat voor je? Door middel van bijvoorbeeld een xml bestand of tabel in een database ofzo?

RPC, Webservices die alleen intern te benaderen zijn, zelf een TCP connectie opzetten en aan de andere kant afhandelen.

[BlackHawkDesign]

Heren bedankt!! Ik ga eens googelen hoe ik dat precies moet doen maar jullie hebben mij opnieuw weer de weg gewezen. Bedankt janoz en beany!