构建安全ASP.NET应用程序

《构建安全ASP.NET应用程序》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、构建安全的ASP.NET应用程序身份验证、授权和安全通信第7章—Internet安全性J.D.Meier、AlexMackman、MichaelDunner和SrinathVasireddyMicrosoftCorporation2002年10月有关构建安全的ASP.NET应用程序的起点和完整概述，请参见登陆页面。总结本章介绍如何保护通用Internet应用程序方案的安全。还介绍了每种方案的特征以及保护各方案的安全所需的步骤。还包括分析部分以提供进一步的信息。内容ASP.NET到SQLServerASP.NET到远程EnterpriseServices到SQLServer总

2、结Internet应用程序具有大量的使用用户、许多潜在的使用以及各种不同的安全要求。它们包括不要求进行用户身份验证的门户应用程序、为注册用户提供内容的Web应用程序以及大型电子商务应用程序（要求完全进行身份验证、授权、信用卡验证以及保护通过公共和内部网络传递的机密数据的安全）。作为Internet应用程序开发人员，您需要确保应用程序使用相应的防御机制并且具有可伸缩性、高性能和安全性等功能。您所面对的一些挑战包括：●选择适当的用户凭据存储，例如，自定义数据库或ActiveDirectory®目录服务。●使应用程序通过防火墙工作。●在应用程序的多个层之间传递安全凭据。●执行授权

3、。●在公共和内部网络中传递数据时确保数据的完整性和保密性。●保护应用程序与数据库状态的安全。●确保应用程序数据的完整性。●实现可根据潜在的大量用户进行伸缩的解决方案。本章介绍两个常见的Internet应用程序方案，它们用于阐释建议的身份验证、授权和安全通信技术：●ASP.NET到SQLServer●ASP.NET到远程EnterpriseServices到SQLServerASP.NET到SQLServer此方案有两个物理层，注册用户可以使用Web浏览器安全地登录到基于Web的应用程序。基于ASP.NET的Web应用程序安全地连接到Microsoft®SQLServer™数

4、据库，以便主要管理数据检索任务。例如，向注册订户提供新闻内容的门户应用程序。图7.1中显示了这种情况。{Insertfigure:CH07–Internet–ASPNETtoSQLServer.gif}图7.1ASP.NETWeb应用程序到SQLServerInternet方案特点本方案具有以下特点：●用户有许多不同的浏览器类型。●匿名用户可以浏览该应用程序的不受限制的页面。●用户必须注册或登录（通过HTML表单）才能有权限访问受限页面。●根据SQLServer数据库验证用户凭据。●验证在数据库查询中使用的所有用户输入（如用户凭据）以减轻SQL注入攻击的威胁。●前端Web应

5、用程序位于周边网络（也称作DMZ、网络隔离区和屏蔽子网）中，防火墙将它与Internet和公司内部网络（以及SQLServer数据库）隔离开。●该应用程序要求强大的安全性、高度的可伸缩性和详细的审核。●数据库委托该应用程序对用户进行正确的身份验证（即应用程序代表用户对数据库进行调用）。●Web应用程序使用ASP.NET进程帐户连接到数据库。●在SQLServer中使用单个用户定义的数据库角色进行数据库授权。保护方案在此方案中，Web应用程序提供一个登录页面以接受凭据。验证成功的用户可以继续操作，所有其他用户则被拒绝访问。数据库对ASP.NET默认的进程标识（它是权限最少的帐

6、户）进行身份验证（即，数据库信任ASP.NET应用程序）。表7.1：安全摘要类别明细身份验证·将IIS配置为允许匿名访问；ASP.NETWeb应用程序使用表单身份验证对用户进行身份验证以获取凭据。根据SQLServer数据库进行验证。·数据库中不存储用户密码，而是存储带有Salt值的密码哈希值。Salt减轻了与字典攻击相关的威胁。·Windows®身份验证使用权限最少的Windows帐户连接到数据库，该帐户用于运行ASP.NETWeb应用程序。授权·ASP.NET进程帐户被授权访问Web服务器上的系统资源。这些资源是使用WindowsACL保护的。·使用ASP.NET应用程

7、序标识授予对数据库的访问权限。安全通信·通过使用SSL保护用户和Web应用程序之间传送的机密数据。·使用IPSec保护在Web服务器和数据库服务器之间传送的机密数据。结果图7.2显示了此方案的建议安全配置。{Insertfigure:CH07-Internet–ASP.NETtoSQLServer(Solution).gif}图7.2ASP.NET到SQLServerInternet方案的建议安全配置安全配置步骤在您开始之前，您需要查看以下内容：●创建自定义ASP.NET帐户（参见本指南“参考”部分中的“如何做：创