Pessoal,
Estou fazendo um levantamento das possíveis falhas na comunicação das minhas aplicações web.
São aplicações java/tomcat/struts, usando JAAS para autenticação.
Minhas dúvidas são sobre o form JSP da página de login, que usa o j_security_check para submeter usuário e senha:
-
Verifiquei que esse form tem um tempo de sessão, que após o form carregado, tem um tempo para ser submetido. Qualquer submit após esse tempo dá falha no login.
Tem uma sessão interna no j_security_check? Trata-se de uma implementação de segurança? -
É possível que um invasor fabrique uma requisição HTTP, se fazendo passar pelo j_security_check?
Ou teoricamente o JAAS resolve essa parte de segurança?
Qualquer idéia é bem-vinda.
Atte,
Cristiano.
