Διαχείριση της ασφάλειας των ASP.Net εφαρμογές

Συχνά, ένας δικτυακός τόπος περιέχει σελίδες που δεν πρέπει να είναι διαθέσιμη να είναι ορατό από τον καθένα, αλλά μόνο για ορισμένους τύπους χρηστών. Γίνεται λόγος για έλεγχο ταυτότητας χρήστη σε σχέση με την πρακτική που χρησιμοποιείται για να εξασφαλίζουν ότι οι χρήστες είναι πράγματι εκείνοι που ισχυρίζονται ότι είναι και η πρακτική αυτή είναι βασισμένη σε κοινές πληροφορίες (όπως ένας κωδικός πρόσβασης). Μιλάει αντί να επιτρέπει στους χρήστες να αναφερθείτε στην πρακτική της να επιτρέψει ή να αρνηθεί με βάση την άδεια ή / και τους ρόλους που τους έχουν ανατεθεί για την άδεια να έχετε πρόσβαση σε ορισμένες σελίδες σε ορισμένους χρήστες που έχουν πιστοποιηθεί.

Η ασφάλεια του λογισμικού είναι ένα θέμα μεγάλης σημασίας τα τελευταία χρόνια. Όταν μια διαδικτυακή εφαρμογή τρέχει σε περιβάλλον Microsoft πρέπει να εξετάσουν ορισμένες θεμελιώδεις πτυχές: το πλαίσιο ασφάλειας (περιβάλλον ασφαλείας) IIS, πώς την πιστοποίηση των χρηστών και τα δικαιώματα τους.

Η διαχείριση της ασφάλειας στο διαδίκτυο είναι πολύ παρόμοια με τη δραστηριότητα που χαρακτηρίζουν ένα σύστημα διαχείρισης της ασφάλειας, όπου θα πρέπει να βασίζεται σε έλεγχο ταυτότητας και εξουσιοδότηση των χρηστών. Ωστόσο, η ασφάλεια στο διαδίκτυο προβλέπει τη διαχείριση των πελατών που χρησιμοποιούν διαφορετικές πλατφόρμες, έτσι ώστε να έχουν λιγότερο έλεγχο από ένα κλειστό δίκτυο (όπως τα Windows δίκτυο σε ένα γραφείο). Στην πραγματικότητα, ένα κλειστό διαχειριστές δικτύου μπορούν πιο εύκολα να παρακολουθήσει ολόκληρο το σύστημα, που παρέχει ή να αρνείται την πρόσβαση για τους χρήστες των διαφόρων διαθέσιμων πόρων. Οι χρήστες της διαδικτυακής εφαρμογής, αλλά είναι πολύ πιο πολυάριθμα και ως εκ τούτου χρειάζεται μια διαφορετική προσέγγιση (εξωτερικές υποδομές Windows) για τον έλεγχο ταυτότητας και οι ίδιοι να επιτρέψει.

Το πρώτο θέμα ασφάλειας που αντιμετωπίζουν οι αναπτυσσόμενες εφαρμογές διαδικτύου σε περιβάλλον Windows είναι να κατανοήσουμε το περιβάλλον ασφαλείας του IIS. Σχεδόν όλες πρόσβαση περάσει σε μια ιστοσελίδα μέσω IIS, και όπως όλες οι εφαρμογές των Windows, IIS εκτελείται σε ένα συγκεκριμένο πλαίσιο. Όταν IIS είναι εγκατεστημένες σε έναν υπολογιστή, η διαδικασία εγκατάστασης δημιουργεί μια ταυτότητα ασφάλειας (security ταυτότητας), ώστε να διαχωρίζονται.

Και «είναι δυνατόν να προσδιοριστεί η ταυτότητα σύμφωνα με την οποία μας εκδοχή του IIS τρέχει ξεκίνησε, επιλέξτε ένα εικονικό κατάλογο, με πρόσβαση από το παράθυρο ιδιοτήτων και κάνοντας κλικ στην απομακρυσμένη πρόσβαση και έλεγχο ταυτότητας. Σε αυτό το σημείο το παρακάτω παράθυρο

Όπως μπορείτε να δείτε στον υπολογιστή μου ταυτότητα είναι IUSR.

Από προεπιλογή IIS λαβές εικονικούς καταλόγους με τη χρήση του ανώνυμου ελέγχου ταυτότητας. Όταν αυτή η λειτουργία έχει καθοριστεί με τον χρήστη των υπηρεσιών IIS που μόλις είδαμε και διαθέτει τους πόρους που είναι προσβάσιμες. IIS υποστηρίζει επίσης και άλλες μορφές ελέγχου ταυτότητας, συμπεριλαμβανομένης της ταυτότητας των Windows. Στην τελευταία περίπτωση θα πρέπει να παρέχει σε όλους τους δυνητικούς χρήστες των Windows το όνομα χρήστη και τον κωδικό πρόσβασης. Ωστόσο, αυτός ο τύπος ελέγχου ταυτότητας λειτουργεί καλά με τους χρήστες που χρησιμοποιούν τα Windows, αλλά για τους χρήστες που χρησιμοποιούν άλλα λειτουργικά συστήματα θα πρέπει να χρησιμοποιήσετε έναν άλλο τύπο ταυτότητας, όπως ο μηχανισμός ασφάλειας που είναι διαθέσιμα για τους χρήστες των Windows δεν είναι διαθέσιμη για άλλα συστήματα και ως εκ τούτου την οι χρήστες δεν μπορούσαν να επικυρωθούν.

Ευτυχώς, ASP.NET περιλαμβάνει το λεγόμενο ταυτότητας με cookies, ένα απλό αλλά αποτελεσματικό εργαλείο που θεσπίστηκε στο verisone 1.0. Βρίσκεται από το αρχείο web.config μιας εφαρμογής web που, εκτός από τα στοιχεία που έχουν ήδη δει, περιέχει επίσης και τους κόμβους της ταυτότητας και της άδειας. Ελλείψει των εν λόγω κόμβων ASP.NET επιτρέπει απεριόριστη πρόσβαση σε ένα δικτυακό τόπο. Ωστόσο, εάν αυτά τα στοιχεία είναι παρόντα χρήστες ανακατευθύνονται σε μια σελίδα αφιερωμένη στον έλεγχο ταυτότητας (συνήθως μια σελίδα σύνδεσης, όπου οι χρήστες πρέπει να πληκτρολογήσετε το όνομα χρήστη και κωδικό πρόσβασης).

Εδώ είναι ένα δείγμα web.config με αυτούς τους κόμβους

μπορείτε να δείτε ότι ορίστηκε ως μέθοδο ελέγχου ταυτότητας και ως μια σελίδα φόρμας όπου οι χρήστες κατευθύνονται στην login.aspx σελίδα.

ASP.NET περιλαμβάνει μια μεγάλη υποστήριξη για την ταυτοποίηση του χρήστη. Το βασικό στοιχείο στο πλαίσιο αυτό είναι της τάξης FormsAuthentication, η οποία παρέχει μια σειρά από διάφορες λειτουργίες που κυμαίνονται από τον κρυπτογραφημένο κωδικό πρόσβασης για τη δημιουργία των cookies ταυτότητας, πρόκειται για μια σειρά από άλλα ζητήματα

Για να διερευνήσουν το θέμα της ασφάλειας σε ASP.NET σας καλώ να συμβουλευτείτε ένα άρθρο που γράφτηκε από μένα και θα υποβάλει προς αυτή τη σελίδα .

• <<Προηγούμενο μάθημα
• Βοήθεια Δείκτης
• Επόμενο μάθημα>>