Ochrona parametrów połączeń i innych informacji o konfiguracji (VB)

Autor : Scott Mitchell

Pobierz plik PDF

Aplikacja ASP.NET zwykle przechowuje informacje o konfiguracji w pliku Web.config. Niektóre z tych informacji są poufne i gwarantuje ochronę. Domyślnie ten plik nie będzie obsługiwany dla odwiedzających witrynę sieci Web, ale administrator lub haker może uzyskać dostęp do systemu plików serwera sieci Web i wyświetlić zawartość pliku. Z tego samouczka dowiesz się, że ASP.NET 2.0 umożliwia ochronę poufnych informacji przez szyfrowanie sekcji pliku Web.config.

Wprowadzenie

Informacje o konfiguracji aplikacji ASP.NET są często przechowywane w pliku XML o nazwie Web.config. W trakcie tych samouczków zaktualizowaliśmy Web.config kilka razy. Podczas tworzenia Northwind Typed DataSet w pierwszym samouczku, na przykład, informacje o parametrach połączenia zostały automatycznie dodane do Web.config sekcji <connectionStrings>. Później, w ramach samouczka Strony wzorcowe i nawigacja po witrynie, ręcznie zaktualizowaliśmy Web.config, dodając element <pages>, wskazujący, że wszystkie strony ASP.NET w naszym projekcie powinny używać motywu DataWebControls.

Ponieważ Web.config mogą zawierać poufne dane, takie jak parametry połączenia, ważne jest, aby zawartość Web.config była bezpieczna i ukryta przed nieautoryzowanymi przeglądarkami. Domyślnie każde żądanie HTTP do pliku z .config rozszerzeniem jest obsługiwane przez silnik ASP.NET, który zwraca komunikat Tego typu strony nie jest wyświetlany, pokazany na Rysunku 1. Oznacza to, że osoby odwiedzające nie mogą wyświetlać Web.config zawartości pliku, wprowadzając po prostu http://www.YourServer.com/Web.config na pasku adresu przeglądarki.

Rysunek 1. Przeglądanie Web.config za pośrednictwem przeglądarki zwraca komunikat, że tego typu strona nie jest obsługiwana (kliknij, aby wyświetlić obraz w pełnym rozmiarze)

Ale co zrobić, jeśli osoba atakująca może znaleźć inne luki, które pozwalają jej wyświetlić Web.config zawartość pliku? Co może zrobić osoba atakująca z tymi informacjami i jakie kroki można podjąć w celu dalszej ochrony poufnych informacji w ramach Web.config? Na szczęście większość sekcji w programie Web.config nie zawiera informacji poufnych. Jakie szkody może wyrządzić atakujący, jeśli zna nazwę motywu domyślnego używanego przez strony ASP.NET?

Niektóre Web.config sekcje zawierają jednak poufne informacje, które mogą zawierać parametry połączenia, nazwy użytkowników, hasła, nazwy serwerów, klucze szyfrowania itd. Te informacje znajdują się zwykle w następujących Web.config sekcjach:

• <appSettings>
• <connectionStrings>
• <identity>
• <sessionState>

W tym samouczku przyjrzymy się technikom ochrony takich poufnych informacji konfiguracyjnych. Jak zobaczymy, program .NET Framework w wersji 2.0 zawiera chroniony system konfiguracji, który sprawia, że programowe szyfrowanie i odszyfrowywanie wybranych sekcji konfiguracji jest proste.

Uwaga / Notatka

Ten samouczek zawiera omówienie zaleceń firmy Microsoft dotyczących nawiązywania połączenia z bazą danych z aplikacji ASP.NET. Oprócz szyfrowania parametrów połączenia, możesz pomóc wzmocnić bezpieczeństwo systemu, zapewniając, że łączysz się z bazą danych w bezpieczny sposób.

Krok 1: Eksplorowanie dostępnych opcji chronionej konfiguracji w ASP.NET 2.0

ASP.NET 2.0 zawiera chroniony system konfiguracji do szyfrowania i odszyfrowywania informacji o konfiguracji. Obejmuje to metody w programie .NET Framework, które mogą służyć do programowego szyfrowania lub odszyfrowywania informacji o konfiguracji. Chroniony system konfiguracji korzysta z modelu dostawcy, który umożliwia deweloperom wybór używanej implementacji kryptograficznych.

Program .NET Framework jest dostarczany z dwoma chronionymi dostawcami konfiguracji:

• RSAProtectedConfigurationProvider — używa asymetrycznego algorytmu RSA do szyfrowania i odszyfrowywania.
• DPAPIProtectedConfigurationProvider — używa interfejsu API ochrony danych systemu Windows (DPAPI) do szyfrowania i odszyfrowywania.

Ponieważ chroniony system konfiguracji implementuje wzorzec projektowania dostawcy, można utworzyć własnego chronionego dostawcę konfiguracji i podłączyć go do aplikacji. Aby uzyskać więcej informacji na temat tego procesu, zobacz Implementowanie chronionego dostawcy konfiguracji .

Dostawcy RSA i DPAPI używają kluczy do wykonywania procedur szyfrowania i odszyfrowywania, a te klucze mogą być przechowywane na poziomie komputera lub użytkownika. Klucze na poziomie maszyny są idealne w scenariuszach, w których aplikacja internetowa działa na własnym dedykowanym serwerze lub jeśli istnieje wiele aplikacji na serwerze, które muszą udostępniać zaszyfrowane informacje. Klucze na poziomie użytkownika to bezpieczniejsza opcja w środowiskach hostingu współużytkowanego, w których inne aplikacje na tym samym serwerze nie powinny być w stanie odszyfrować sekcji konfiguracji chronionej aplikacji.

W tym samouczku nasze przykłady będą używać dostawcy DPAPI i kluczy na poziomie maszyny. W szczególności przyjrzymy się szyfrowaniu <connectionStrings> sekcji w Web.config, chociaż chroniony system konfiguracji może służyć do szyfrowania praktycznie każdej Web.config sekcji. Aby uzyskać informacje na temat używania kluczy na poziomie użytkownika lub korzystania z dostawcy RSA, zapoznaj się z zasobami w sekcji Dalsze informacje na końcu tego samouczka.

Uwaga / Notatka

Dostawcy RSAProtectedConfigurationProvider i DPAPIProtectedConfigurationProvider są zarejestrowani w pliku machine.config z nazwami RsaProtectedConfigurationProvider i DataProtectionConfigurationProvider, odpowiednio. Podczas szyfrowania lub odszyfrowywania informacji o konfiguracji należy podać odpowiednią nazwę dostawcy (RsaProtectedConfigurationProvider lub DataProtectionConfigurationProvider) zamiast rzeczywistej nazwy typu (RSAProtectedConfigurationProvider i DPAPIProtectedConfigurationProvider). Możesz znaleźć plik machine.config w folderze $WINDOWS$\Microsoft.NET\Framework\version\CONFIG .

Krok 2. Programowe szyfrowanie i odszyfrowywanie sekcji konfiguracji

Za pomocą kilku wierszy kodu możemy zaszyfrować lub odszyfrować określoną sekcję konfiguracji przy użyciu określonego dostawcy. Kod, jak zobaczymy wkrótce, po prostu musi programowo odwołać się do odpowiedniej sekcji konfiguracji, wywołać jej ProtectSection metodę lub UnprotectSection , a następnie wywołać Save metodę, aby utrwała zmiany. Ponadto program .NET Framework zawiera przydatne narzędzie wiersza polecenia, które może szyfrować i odszyfrowywać informacje o konfiguracji. Zapoznamy się z tym narzędziem wiersza polecenia w kroku 3.

Aby zilustrować programową ochronę informacji o konfiguracji, utwórzmy stronę ASP.NET zawierającą przyciski do szyfrowania i odszyfrowywania <connectionStrings> sekcji w programie Web.config.

Rozpocznij od otwarcia strony EncryptingConfigSections.aspx w folderze AdvancedDAL. Przeciągnij kontrolkę TextBox z Przybornika do projektanta, ustawiając jej właściwość ID na WebConfigContents, właściwość TextMode na MultiLine, oraz właściwości Width i Rows na 95% i 15. Ta kontrolka TextBox wyświetli zawartość Web.config umożliwiającą szybkie sprawdzenie, czy zawartość jest zaszyfrowana, czy nie. Oczywiście w rzeczywistej aplikacji nigdy nie chcesz wyświetlać zawartości elementu Web.config.

Pod kontrolką TextBox dodaj dwie kontrolki Przycisk o nazwie EncryptConnStrings i DecryptConnStrings. Ustaw ich właściwości tekstowe na wartość Szyfruj parametry połączenia i Odszyfruj parametry połączenia.

Na tym etapie ekran powinien wyglądać podobnie do rysunku 2.

Rysunek 2. Dodaj kontrolkę TextBox i dwie kontrolki przycisku sieciowego do strony (Kliknij, aby obejrzeć obraz w pełnym rozmiarze)

Następnie musimy napisać kod, który ładuje i wyświetla zawartość Web.config pola TextBox po pierwszym załadowaniu WebConfigContents strony. Dodaj następujący kod do klasy code-behind strony. Ten kod dodaje metodę o nazwie DisplayWebConfig i wywołuje ją w Page_Load procedurze obsługi zdarzeń, gdy Page.IsPostBack ma wartość False.

Protected Sub Page_Load(sender As Object, e As EventArgs) Handles Me.Load
    'On the first page visit, call DisplayWebConfig method
    If Not Page.IsPostBack Then
        DisplayWebConfig()
    End If
End Sub
Private Sub DisplayWebConfig()
    'Reads in the contents of Web.config and displays them in the TextBox
    Dim webConfigStream As StreamReader = _
        File.OpenText(Path.Combine(Request.PhysicalApplicationPath, "Web.config"))
    Dim configContents As String = webConfigStream.ReadToEnd()
    webConfigStream.Close()
    WebConfigContents.Text = configContents
End Sub

Metoda DisplayWebConfig używa File klasy do otwierania Web.config pliku aplikacji, StreamReader klasy w celu odczytania jej zawartości w ciągu oraz Path klasy w celu wygenerowania ścieżki fizycznej do Web.config pliku. Wszystkie te trzy klasy znajdują się w System.IO przestrzeni nazw. W związku z tym należy dodać instrukcję Imports``System.IO na początku klasy kodu-behind lub, alternatywnie, nadać przedrostek tym nazwom klas z System.IO..

Następnie musimy dodać programy obsługi zdarzeń dla zdarzeń dwóch kontrolek Button Click i dodać niezbędny kod do szyfrowania i odszyfrowywania sekcji <connectionStrings> przy użyciu klucza na poziomie maszyny z dostawcą DPAPI. W Designerze kliknij dwukrotnie każdy z przycisków, aby dodać procedurę obsługi zdarzenia Click w klasie code-behind, a następnie dodaj następujący kod:

Protected Sub EncryptConnStrings_Click(sender As Object, e As EventArgs) _
    Handles EncryptConnStrings.Click
    'Get configuration information about Web.config
    Dim config As Configuration = _
        WebConfigurationManager.OpenWebConfiguration(Request.ApplicationPath)
    ' Let's work with the <connectionStrings> section
    Dim connectionStrings As ConfigurationSection = _
        config.GetSection("connectionStrings")
    If connectionStrings IsNot Nothing Then
        ' Only encrypt the section if it is not already protected
        If Not connectionStrings.SectionInformation.IsProtected Then
            ' Encrypt the <connectionStrings> section using the 
            ' DataProtectionConfigurationProvider provider
            connectionStrings.SectionInformation.ProtectSection( _
                "DataProtectionConfigurationProvider")
            config.Save()
            ' Refresh the Web.config display
            DisplayWebConfig()
        End If
    End If
End Sub
Protected Sub DecryptConnStrings_Click(sender As Object, e As EventArgs) _
    Handles DecryptConnStrings.Click
    ' Get configuration information about Web.config
    Dim config As Configuration = _
        WebConfigurationManager.OpenWebConfiguration(Request.ApplicationPath)
    ' Let's work with the <connectionStrings> section
    Dim connectionStrings As ConfigurationSection = _
        config.GetSection("connectionStrings")
    If connectionStrings IsNot Nothing Then
        ' Only decrypt the section if it is protected
        If connectionStrings.SectionInformation.IsProtected Then
            ' Decrypt the <connectionStrings> section
            connectionStrings.SectionInformation.UnprotectSection()
            config.Save()
            ' Refresh the Web.config display
            DisplayWebConfig()
        End If
    End If
End Sub

Kod używany w dwóch programach obsługi zdarzeń jest prawie identyczny. Obaj zaczynają od uzyskania informacji o bieżącym pliku aplikacji Web.config za pomocą klasy WebConfigurationManager oraz metody OpenWebConfiguration. Ta metoda zwraca plik konfiguracji sieci Web dla określonej ścieżki wirtualnej. Następnie sekcja pliku Web.config s <connectionStrings> jest dostępna za pośrednictwem metody Configuration klasy GetSection(sectionName), która zwraca obiekt ConfigurationSection.

Obiekt ConfigurationSection zawiera SectionInformation właściwość , która zawiera dodatkowe informacje i funkcje dotyczące sekcji konfiguracji. Jak pokazuje powyższy kod, możemy określić, czy sekcja konfiguracji jest szyfrowana, sprawdzając właściwość SectionInformation właściwość IsProtected. Ponadto sekcję można zaszyfrować lub odszyfrować za pomocą SectionInformation właściwości s ProtectSection(provider) i UnprotectSection metod.

Metoda ProtectSection(provider) przyjmuje jako dane wejściowe ciąg określający nazwę chronionego dostawcy konfiguracji do użycia podczas szyfrowania. W obsłudze zdarzenia przycisku EncryptConnString przekazujemy element DataProtectionConfigurationProvider do metody ProtectSection(provider), aby używać dostawcy DPAPI. Metoda UnprotectSection może określić dostawcę, który został użyty do zaszyfrowania sekcji konfiguracji i dlatego nie wymaga żadnych parametrów wejściowych.

Po wywołaniu metody ProtectSection(provider) lub UnprotectSection, należy wywołać metodę obiektu ConfigurationSave, aby zachować zmiany. Po zaszyfrowaniu lub odszyfrowaniu informacji o konfiguracji i zapisaniu zmian, wywołujemy DisplayWebConfig w celu załadowania zaktualizowanej zawartości Web.config do kontrolki TextBox.

Po wprowadzeniu powyższego kodu przetestuj go, odwiedzając EncryptingConfigSections.aspx stronę za pośrednictwem przeglądarki. Początkowo powinna się wyświetlić strona, która wymienia zawartość Web.config, z sekcją <connectionStrings> wyświetlaną jako zwykły tekst (zobacz Rysunek 3).

Rysunek 3: Dodaj kontrolkę TextBox i dwie kontrolki przycisku sieci Web do strony (kliknij, aby wyświetlić obraz w pełnym rozmiarze)

Teraz kliknij przycisk Szyfruj parametry połączenia. Jeśli walidacja żądania jest włączona, znaczniki przesłane z powrotem z WebConfigContents TextBox wygenerują HttpRequestValidationException, który wyświetla komunikat: Wykryto potencjalnie niebezpieczną Request.Form wartość od klienta. Walidacja żądań, która jest domyślnie włączona w ASP.NET 2.0, zabrania zwrotów formularzy, które zawierają HTML bez kodowania, i ma na celu zapobieganie atakom polegającym na wstrzyknięciu skryptu. To sprawdzenie można wyłączyć na poziomie strony lub aplikacji. Aby wyłączyć to ustawienie dla tej strony, ustaw ValidateRequest na False w dyrektywie @Page. Dyrektywa @Page znajduje się na górze strony w deklaratywnym znaczniku.

<%@ Page ValidateRequest="False" ... %>

Aby uzyskać więcej informacji na temat sprawdzania poprawności żądania, jego przeznaczenia, sposobu jego wyłączania na poziomie strony i aplikacji, a także sposobu kodowania kodu HTML, zobacz Request Validation - Preventing Script Attacks (Sprawdzanie poprawności żądań — zapobieganie atakom skryptowym).

Po wyłączeniu weryfikacji żądania dla strony spróbuj ponownie kliknąć przycisk Szyfruj parametry połączenia. Podczas odświeżania zostanie uzyskany dostęp do pliku konfiguracji, a jego sekcja <connectionStrings> zostanie zaszyfrowana przez dostawcę DPAPI. Pole tekstowe jest następnie aktualizowane w celu wyświetlenia nowej Web.config zawartości. Jak pokazano na rysunku 4, <connectionStrings> informacje są teraz szyfrowane.

Rysunek 4. Kliknięcie przycisku Szyfruj parametry połączenia szyfruje sekcję <connectionString> (kliknij, aby wyświetlić obraz o pełnym rozmiarze)

Sekcja zaszyfrowana <connectionStrings> wygenerowana na moim komputerze jest następująca, chociaż część zawartości elementu <CipherData> została usunięta w celu zwięzłości:

<connectionStrings 
    configProtectionProvider="DataProtectionConfigurationProvider">
  <EncryptedData>
    <CipherData>
      <CipherValue>==</CipherValue>
    </CipherData>
  </EncryptedData>
</connectionStrings>

Uwaga / Notatka

Element <connectionStrings> określa dostawcę używanego do wykonywania szyfrowania (DataProtectionConfigurationProvider). Te informacje są używane przez metodę UnprotectSection po kliknięciu przycisku Odszyfruj parametry połączenia.

Gdy dostęp do informacji o parametrach połączenia jest uzyskiwany Web.config z kodu, który piszemy, z kontrolki SqlDataSource lub automatycznie generowanego kodu z elementów TableAdapters w typizowanych zestawach danych — jest on automatycznie odszyfrowywany. Krótko mówiąc, nie musimy dodawać żadnego dodatkowego kodu ani logiki, aby odszyfrować zaszyfrowaną <connectionString> sekcję. Aby to zademonstrować, odwiedź jedną z wcześniejszych samouczków w tej chwili, na przykład samouczek Simple Display w sekcji Podstawowe raportowanie (~/BasicReporting/SimpleDisplay.aspx). Jak pokazano na rysunku 5, samouczek działa dokładnie tak, jak się spodziewamy, co oznacza, że zaszyfrowane informacje o parametrach połączenia są automatycznie odszyfrowywane przez stronę ASP.NET.

Rysunek 5. Warstwa dostępu do danych automatycznie odszyfrowuje informacje o parametrach połączenia (kliknij, aby wyświetlić obraz o pełnym rozmiarze)

Aby przywrócić sekcję <connectionStrings> do jej reprezentacji zwykłego tekstu, kliknij przycisk Odszyfruj parametry połączenia. Podczas zwrotnego wysłania parametry połączenia powinny być widoczne w Web.config jako zwykły tekst. Na tym etapie ekran powinien wyglądać tak, jak podczas pierwszej wizyty na tej stronie (zobacz rysunek 3).

Krok 3. Szyfrowanie sekcji konfiguracji przy użyciu aspnet_regiis.exe

Program .NET Framework zawiera różne narzędzia wiersza polecenia w folderze $WINDOWS$\Microsoft.NET\Framework\version\ . Na przykład w samouczku Using SQL Cache Dependencies (Korzystanie z zależności pamięci podręcznej SQL) omówiliśmy użycie aspnet_regsql.exe narzędzia wiersza polecenia w celu dodania infrastruktury niezbędnej dla zależności pamięci podręcznej SQL. Innym przydatnym narzędziem wiersza polecenia w tym folderze jest narzędzie rejestracji IIS dla ASP.NET (aspnet_regiis.exe). Jak sama nazwa wskazuje, narzędzie rejestracji usług IIS ASP.NET jest używane głównie do rejestrowania aplikacji ASP.NET 2.0 za pomocą serwera sieci Web klasy profesjonalnej firmy Microsoft, usług IIS. Oprócz funkcji związanych z usługami IIS narzędzie rejestracji usług IIS ASP.NET można również użyć do szyfrowania lub odszyfrowania określonych sekcji konfiguracji w programie Web.config.

Poniższa instrukcja przedstawia ogólną składnię używaną do szyfrowania sekcji konfiguracji za pomocą narzędzia wiersza poleceń aspnet_regiis.exe.

aspnet_regiis.exe -pef section physical_directory -prov provider

sekcja to sekcja konfiguracji do szyfrowania (na przykład connectionStrings), physical_directory jest pełną, fizyczną ścieżką do katalogu głównego aplikacji internetowej, a dostawca jest nazwą chronionego dostawcy konfiguracji do użycia (na przykład DataProtectionConfigurationProvider). Alternatywnie, jeśli aplikacja internetowa jest zarejestrowana w usługach IIS, możesz wprowadzić ścieżkę wirtualną zamiast ścieżki fizycznej przy użyciu następującej składni:

aspnet_regiis.exe -pe section -app virtual_directory -prov provider

aspnet_regiis.exe Poniższy przykład szyfruje sekcję <connectionStrings> przy użyciu dostawcy DPAPI z kluczem na poziomie komputera:

aspnet_regiis.exe -pef
"connectionStrings" "C:\Websites\ASPNET_Data_Tutorial_73_VB"
-prov "DataProtectionConfigurationProvider"

aspnet_regiis.exe Podobnie narzędzie wiersza polecenia może służyć do odszyfrowywania sekcji konfiguracji. Zamiast używać przełącznika -pef , użyj polecenia -pdf (lub zamiast -pe, użyj polecenia -pd). Należy również pamiętać, że nazwa dostawcy nie jest konieczna podczas odszyfrowywania.

aspnet_regiis.exe -pdf section physical_directory
  -- or --
aspnet_regiis.exe -pd section -app virtual_directory

Uwaga / Notatka

Ponieważ używamy dostawcy DPAPI, który używa kluczy specyficznych dla komputera, należy uruchomić aspnet_regiis.exe z tego samego komputera, z którego są obsługiwane strony sieci Web. Jeśli na przykład uruchomisz ten program wiersza polecenia z lokalnej maszyny deweloperów, a następnie przekażesz zaszyfrowany plik Web.config na serwer produkcyjny, serwer produkcyjny nie będzie mógł odszyfrować informacji o parametrach połączenia, ponieważ został zaszyfrowany przy użyciu kluczy specyficznych dla maszyny dewelopera. Dostawca RSA nie ma tego ograniczenia, ponieważ można wyeksportować klucze RSA do innej maszyny.

Omówienie opcji uwierzytelniania bazy danych

Zanim jakakolwiek aplikacja będzie mogła wysyłać zapytania SELECTINSERTUPDATEDELETE do bazy danych Microsoft SQL Server, najpierw baza danych musi zidentyfikować żądającego. Ten proces jest znany jako uwierzytelnianie , a program SQL Server udostępnia dwie metody uwierzytelniania:

• Uwierzytelnianie systemu Windows — proces, w którym działa aplikacja, jest używany do komunikowania się z bazą danych. W przypadku uruchamiania aplikacji ASP.NET za pomocą programu Visual Studio 2005 s ASP.NET Development Server aplikacja ASP.NET zakłada tożsamość aktualnie zalogowanego użytkownika. W przypadku aplikacji ASP.NET w programie Microsoft Internet Information Server (IIS) aplikacje ASP.NET zwykle zakładają tożsamość domainName``\MachineName lub domainName``\NETWORK SERVICE, chociaż można to dostosować.
• Uwierzytelnianie SQL — identyfikator użytkownika i wartości hasła są dostarczane jako poświadczenia do uwierzytelniania. W przypadku uwierzytelniania SQL identyfikator użytkownika i hasło są podane w parametrach połączenia.

Uwierzytelnianie systemu Windows jest preferowane za pośrednictwem uwierzytelniania SQL, ponieważ jest bezpieczniejsze. W przypadku uwierzytelniania systemu Windows parametry połączenia są wolne od nazwy użytkownika i hasła, a jeśli serwer internetowy i serwer bazy danych znajdują się na dwóch różnych maszynach, poświadczenia nie są wysyłane przez sieć w postaci zwykłego tekstu. Jednak w przypadku uwierzytelniania SQL poświadczenia uwierzytelniania są zakodowane w parametrach połączenia i są przesyłane z serwera internetowego do serwera bazy danych w postaci zwykłego tekstu.

W tych samouczkach użyto uwierzytelniania systemu Windows. Możesz określić, jaki tryb uwierzytelniania jest używany, sprawdzając parametry połączenia. Parametry połączenia w Web.config programie dla naszych samouczków zostały następujące:

Data Source=.\SQLEXPRESS; AttachDbFilename=|DataDirectory|\NORTHWND.MDF; Integrated Security=True; User Instance=True

Zintegrowane zabezpieczenia="True" i brak nazwy użytkownika oraz hasła wskazują na użycie uwierzytelniania systemu Windows. W niektórych parametrach połączenia termin Zaufane połączenie=Tak lub Zintegrowane zabezpieczenia=SSPI jest używany zamiast Zintegrowane zabezpieczenia=True, ale wszystkie trzy wskazują użycie uwierzytelniania systemu Windows.

W poniższym przykładzie przedstawiono ciąg połączenia, który korzysta z uwierzytelniania SQL. Zanotuj poświadczenia osadzone w parametrach połączenia:

Server=serverName; Database=Northwind; uid=userID; pwd=password

Załóżmy, że osoba atakująca może wyświetlić plik aplikacji Web.config . Jeśli używasz uwierzytelniania SQL do nawiązywania połączenia z bazą danych, która jest dostępna za pośrednictwem Internetu, osoba atakująca może użyć tych parametrów połączenia, aby nawiązać połączenie z bazą danych za pośrednictwem programu SQL Management Studio lub ze stron ASP.NET w własnej witrynie internetowej. Aby pomóc w ograniczeniu tego zagrożenia, zaszyfruj informacje o ciągu połączenia za pomocą chronionego systemu konfiguracji.

Uwaga / Notatka

Aby uzyskać więcej informacji na temat różnych typów uwierzytelniania dostępnych w programie SQL Server, zobacz Tworzenie bezpiecznych aplikacji ASP.NET: uwierzytelnianie, autoryzacja i bezpieczna komunikacja. Aby uzyskać więcej przykładów parametrów połączenia ilustrujących różnice między składnią uwierzytelniania systemu Windows i sql, zapoznaj się z ConnectionStrings.com.

Podsumowanie

Domyślnie pliki z .config rozszerzeniem w aplikacji ASP.NET nie mogą być dostępne za pośrednictwem przeglądarki. Te typy plików nie są zwracane, ponieważ mogą zawierać poufne informacje, takie jak parametry połączenia bazy danych, nazwy użytkownika i hasła itd. Chroniony system konfiguracji na platformie .NET 2.0 pomaga dodatkowo chronić poufne informacje, umożliwiając szyfrowanie określonych sekcji konfiguracji. Istnieją dwa wbudowane dostawcy konfiguracji chronionej: jeden, który używa algorytmu RSA i jeden, który korzysta z interfejsu API ochrony danych systemu Windows (DPAPI).

W tym samouczku przedstawiono sposób szyfrowania i odszyfrowywania ustawień konfiguracji przy użyciu dostawcy DPAPI. Można to osiągnąć zarówno programowo, jak pokazano w kroku 2, jak i za pomocą aspnet_regiis.exe narzędzia wiersza polecenia, które zostało omówione w kroku 3. Aby uzyskać więcej informacji na temat używania kluczy na poziomie użytkownika lub zamiast tego przy użyciu dostawcy RSA, zobacz zasoby w sekcji Dalsze informacje.

Szczęśliwe programowanie!

Dalsza lektura

Aby uzyskać więcej informacji na temat tematów omówionych w tym samouczku, zapoznaj się z następującymi zasobami:

• Tworzenie bezpiecznej aplikacji ASP.NET: uwierzytelnianie, autoryzacja i bezpieczna komunikacja
• Web.config Szyfrowanie wartości w ASP.NET 2.0
• Instrukcje: szyfrowanie sekcji konfiguracji w programie ASP.NET 2.0 przy użyciu interfejsu DPAPI
• Instrukcje: szyfrowanie sekcji konfiguracji w ASP.NET 2.0 przy użyciu rsa
• Interfejs API konfiguracji na platformie .NET 2.0
• Ochrona danych systemu Windows

Informacje o autorze

Scott Mitchell, autor siedmiu książek ASP/ASP.NET i założyciel 4GuysFromRolla.com, współpracuje z technologiami internetowymi firmy Microsoft od 1998 roku. Scott pracuje jako niezależny konsultant, trener i pisarz. Jego najnowsza książka to Sams Teach Yourself ASP.NET 2.0 w ciągu 24 godzin. Można go uzyskać pod adresem mitchell@4GuysFromRolla.com.

Specjalne podziękowania

Ta seria samouczków została omówiona przez wielu przydatnych recenzentów. Główni recenzenci tego samouczka to Teresa Murphy i Randy Schmidt. Chcesz przejrzeć nadchodzące artykuły MSDN? Jeśli tak, napisz do mnie na adres mitchell@4GuysFromRolla.com.

Poprzedni następny