ASP.net Security

ASP.Net Security
natankrasney@gmail.com
1

‫אתר‬ ‫אבטחת‬
: ‫הבאים‬ ‫המאפיינים‬ ‫את‬ ‫כוללת‬ ‫אתר‬ ‫אבטחת‬
Authentication
Authorization
Confidentiality
2

Authentication
.‫וססמה‬ ‫משתמש‬ ‫שם‬ ‫באמצעות‬ ‫לדוגמא‬ ‫המשתמש‬ ‫זהות‬ ‫את‬ ‫מוודאים‬ ‫בו‬ ‫תהליך‬ ‫זהו‬
: ‫עבור‬ ‫לדוגמא‬ ‫חשוב‬ ‫התהליך‬
●‫שלה‬ ‫באתר‬ ‫רשומים‬ ‫שנהיה‬ ‫בלי‬ ‫בה‬ ‫לקנות‬ ‫ניתן‬ ‫שלא‬ amazon ‫לדוגמא‬ ‫אינטרנטית‬ ‫חנות‬
●facebook‫ב‬ ‫חשבון‬ ‫לפתוח‬ ‫מנת‬ ‫על‬
●gmail‫ב‬ ‫מייל‬ ‫חשבון‬ ‫לקבל‬ ‫מנת‬ ‫על‬
●‫ועוד‬
ASP.Net ‫ב‬ ‫להשתמש‬ ‫ואפשר‬ authentication‫ב‬ ‫לתמיכה‬ ‫עצמאית‬ ‫מערכת‬ ‫לממש‬ ‫אפשר‬
‫כאן‬ ‫לדוגמא‬ ‫ראו‬ Identity
3

ASP.Net Identity ‫עם‬ ‫פרויקט‬ ‫יצירת‬
Individual User Accounts ‫מסוג‬ Authentication ‫ובחירת‬ (empty ‫)לא‬ MVC ‫פרויקט‬ ‫פתיחת‬
.‫גוגל‬ , ‫פייסבוק‬ ‫באמצעות‬ ‫לדוגמא‬ social login ‫וגם‬ userpassword ‫בעזרת‬ ‫גישה‬ ‫מאפשר‬ ‫וזה‬
.‫מהמשתמש‬ ‫קוד‬ ‫של‬ ‫צורך‬ ‫ללא‬ login , logout , register‫ל‬ ‫אפשרות‬ ‫נותן‬ ‫שנוצר‬ ‫הפרויקט‬
4

ASP.Net Identity ‫של‬ ‫ארכיטקטורה‬
: ‫החשובות‬ ‫המחלקות‬
5
‫מעל‬ ‫ממומש‬ Storage
‫בעזרת‬ SQL Server
EntityFramework
‫שירותים‬
”‫“שחקנים‬
IdentityRole

ModelViewController - ASP.Net Identity
: ‫אוטמטית‬ ‫יוצר‬ Identity
●AccountController , ManageController
●View
●Model
6

ASP.Net Identity Storage
7

logged in ‫שאינו‬ ‫למשתמש‬ ‫גישה‬ ‫הגבלת‬
‫בשם‬ attribute ‫בעזרת‬ ‫נעשה‬ ‫וזה‬ Login ‫שעשה‬ ‫למשתמש‬ ‫רק‬ (View‫ל‬ ‫גישה‬ ‫)ודרכה‬ action‫ל‬ ‫גישה‬ ‫להגביל‬ ‫ניתן‬
: [Authorize]
●action‫ל‬ ‫הגישה‬ ‫תותר‬ ‫אז‬ logged in ‫כבר‬ ‫והמשתמש‬ ‫במידה‬
●action ‫יוחזר‬ ‫הוא‬ ‫אז‬ ‫תקינה‬ ‫בצורה‬ ‫יכנס‬ ‫הוא‬ ‫משם‬ ‫אם‬ .login ‫למסך‬ ‫יועבר‬ ‫הוא‬ ‫אז‬ logged in ‫אינו‬ ‫והמשתמש‬ ‫במידה‬
‫להיכנס‬ ‫ניסה‬ ‫אליה‬
: ‫לממש‬ ‫אפשר‬
●action‫ה‬ ‫ברמת‬
●(‫במחלקה‬ ‫ים‬ - action ‫ה‬ ‫לכל‬ ‫שייושם‬ ‫)כך‬ controller‫ה‬ ‫ברמת‬
●‫הוספת‬ ‫באמצעות‬ RegisterGlobalFilters ‫דרך‬ ‫האפליקציה‬ ‫ברמת‬
filters.Add(new AuthorizeAttribute());
login ‫עשה‬ ‫לא‬ ‫אם‬ ‫גם‬ action‫ל‬ ‫גישה‬ ‫מאפשר‬ [AllowAnonymous] ‫בשם‬ Attribute
8
‫עם‬ ‫בית‬ ‫בדף‬ ‫לדוגמא‬ ‫לשימוש‬ ‫נוח‬
‫רשום‬ ‫משתמש‬ ‫שרק‬ ‫שרוצים‬ ‫לינק‬
.‫אליו‬ ‫להיכנס‬ ‫יוכל‬

OAuth
. ‫ועוד‬ google , linkedin, facebook ‫של‬ ‫בשמוש‬ authentication ‫פרוטוקול‬ ‫הוא‬ OAuth
login ‫לעשות‬ ‫למשתמשים‬ ‫אפשר‬ OAuth
OAuth - Open Authorization
‫הפעולות‬ ‫את‬ ‫מחייבת‬ ‫שלו‬ facebook‫ה‬ ‫חשבון‬ ‫באמצעות‬ ‫שלנו‬ ‫לאתר‬ Login ‫לעשות‬ ‫למשתמש‬ ‫אפשרות‬ ‫מתן‬
: ‫כמפתחים‬ ‫שלנו‬
●facebook‫ב‬ ‫כאפליקציה‬ ‫שלנו‬ ‫האתר‬ ‫רישום‬
●‫בעזרתו‬ user name ,password ‫מעיין‬ ‫זה‬ .‫שלנו‬ ‫האתר‬ ‫עבור‬ ‫מפייסבוק‬ secret ‫ו‬ api key ‫קבלת‬
‫פייסבוק‬ ‫מול‬ ‫יתקשר‬ ‫שלנו‬ ‫האתר‬
●‫דרך‬ ‫שלנו‬ ‫לאתר‬ login ‫לעשות‬ ‫ירצה‬ ‫שמשתמש‬ ‫ברגע‬ api key , secret‫ה‬ ‫את‬ ‫לפייסבוק‬ ‫יעביר‬ ‫האתר‬
‫שלנו‬ ‫באתר‬ facebook ‫כפתור‬
●https‫ב‬ ‫נשתמש‬ facebook‫ל‬ ‫שלנו‬ ‫האתר‬ ‫בין‬ ‫התקשורת‬ ‫עת‬ ‫להגן‬ ‫מנת‬ ‫על‬
9

OAuth ‫ראשון‬ ‫שלב‬
‫שלנו‬ ‫האתר‬ ‫דרך‬ facebook‫ל‬ ‫המשתמש‬ ‫של‬ login ‫לאחר‬ facebook‫ל‬ ‫פונה‬ ‫שלנו‬ ‫האתר‬
10
Our Web Site

OAuth ‫שני‬ ‫שלב‬
.‫אומתה‬ ‫שלו‬ ‫שהזהות‬ ‫כך‬ ‫בפייסבוק‬ ‫חשבון‬ ‫באמת‬ ‫יש‬ ‫שלמשתמש‬ ‫מוכיח‬ ‫שחוזר‬ token‫ה‬
‫אצלנו‬ ‫אותו‬ ‫שנרשום‬ ‫כך‬ ‫לאתר‬ ‫המשתמש‬ ‫את‬ ‫מחזירה‬ facebook
11
Our Web Site

Social Login
‫לאתר‬ Login ‫לבצע‬ ‫מנת‬ ‫על‬ ‫גוגל‬ , ‫לינקדאין‬ , ‫טוויטר‬ , ‫פייסבוק‬ ‫בחשבונות‬ ‫שימוש‬
‫כאן‬ ‫ראו‬
‫מ‬ ‫הפרויקט‬ ‫את‬ ‫לשדרג‬ ‫חשוב‬ ‫אבל‬ ‫מורכב‬ ‫אינו‬ ‫לפייסבוק‬ Login
Microsoft.Owin.Security.Facebook version 3.0.1
‫באמצעות‬
Install-Package Microsoft.Owin.Security.Facebook
‫דרך‬
Tools->NuGet Package Manager->Package Manager Console
12

email confirmation ‫בעזרת‬ ‫אתר‬ ‫אבטחת‬ ‫שיפור‬
email confirmation ‫לעשות‬ ‫איך‬ ‫שמסביר‬ ‫מאמר‬ ‫כאן‬ ‫ראה‬
: ‫הערה‬
●: 6.3.4 ‫גרסה‬ ‫לקחת‬ ‫וצריך‬ ‫נכון‬ ‫אינו‬ ‫בלינק‬ ‫שמופיע‬ SendGrid
Install-Package SendGrid -Version 6.3.4
email ‫ליישם‬ ‫מנת‬ ‫על‬ .ReadMe‫ה‬ ‫את‬ ‫לקרוא‬ ‫צריך‬ ‫אבל‬ ‫כאן‬ ‫עובדת‬ ‫גרסה‬ ‫יש‬
‫השקף‬ ‫בראש‬ ‫בלינק‬ ‫שמוצג‬ ‫התהליך‬ ‫את‬ ‫לבצע‬ ‫צריך‬ ‫חדש‬ ‫בפרויקט‬confirmation
13

Authorization
.‫בצועם‬ ‫ונאכף‬ ‫למשתמשים‬ (Roles) - ‫תפקידים‬ ‫מוגדרים‬ ‫בו‬ ‫תהליך‬
‫משתמשים‬ ‫עבור‬ ‫תפקידים‬ ‫מספר‬ ‫להגדיר‬ ‫אפשר‬ ‫אינטרנטיות‬ ‫חנויות‬ ‫רשת‬ ‫של‬ ‫באתר‬ ‫לדוגמא‬
: ‫רשומים‬
●‫ברשימת‬ ‫לצפות‬ ‫יכול‬ ‫לא‬ ‫אבל‬ ‫בעבר‬ ‫קנה‬ ‫שהוא‬ ‫במוצרים‬ ‫לצפות‬ ‫יכול‬ : ‫פשוט‬ ‫משתמש‬
‫מוצרים‬ ‫להוסיף/לערוך/למחוק‬ ‫יכול‬ ‫ולא‬ ‫המשתמשים‬
●‫חנות‬ ‫מנהל‬ ‫להגדיר‬ ‫יכול‬ ‫לא‬ ‫אבל‬ ‫מוצרים‬ ‫להוסיף/לערוך/למחוק‬ ‫לדוגמא‬ ‫יכול‬ - ‫חנות‬ ‫מנהל‬
●‫חנות‬ ‫מנהל‬ ‫להגדיר‬ ‫בפרט‬ ‫הכל‬ ‫לבצע‬ ‫יכול‬ - ‫רשת‬ ‫מנהל‬
14

Role ‫באמצעות‬ logged in ‫למשתמש‬ ‫גישה‬ ‫הגבלת‬
: ‫הבאה‬ ‫בצורה‬ ‫להכניס‬ ‫אפשר‬ role‫ה‬ ‫את‬
AspNetRoles ‫לטבלה‬ ‫ומכניסים‬ admin ‫לדוגמא‬ role ‫של‬ ‫שם‬ ‫מגדירים‬ ‫קודם‬
‫משתמש‬ ‫של‬ id ‫לבין‬ ‫הזה‬ role ‫של‬ id ‫ה‬ ‫בין‬ AspNetUserRoles ‫בטבלה‬ ‫מקשרים‬ ‫כך‬ ‫אחר‬
AspNetUsers ‫בטבלה‬ ‫שמופיע‬
‫דרכים‬ ‫בשתי‬ ‫להשתמש‬ ‫ניתן‬ ‫בקוד‬ ‫כך‬ ‫אחר‬
● User.IsInRole(“admin”)
● [Authorize(Roles=”admin”)]
15
‫בקוד‬ ‫תנאי‬ ‫בתוך‬
View ‫או‬ controller‫ב‬
action ‫של‬ attribute‫כ‬
controller‫ב‬
‫את‬ ‫לשים‬ ‫כדאי‬
‫קובץ‬ ‫בתוך‬ admin
constants

Confidentiality
‫לגרום‬ ‫שיוכל‬ hacker ‫לדוגמא‬ ‫זדוניות‬ ‫לידיים‬ ‫יגיע‬ ‫שלא‬ ‫כך‬ ‫המידע‬ ‫על‬ ‫לשמור‬ ‫חשוב‬ ‫הזו‬ ‫בקטגוריה‬
.‫המידע‬ ‫בעזרת‬ ‫נזק‬
‫הבאים‬ ‫באמצעים‬ ‫לדוגמא‬ ‫נוקטים‬ ‫ולכן‬
●‫לדוגמא‬ ‫ראו‬ http ‫במקום‬ https‫ב‬ ‫שימוש‬ - ‫לשרת‬ ‫הלקוח‬ ‫בין‬ ‫שעובר‬ ‫המידע‬ ‫הצפנת‬
●‫הססמא‬ ‫את‬ ‫להסתיר‬ ‫מנת‬ ‫על‬ hashing‫ב‬ ‫משתמש‬ Identity .‫בשרת‬ ‫הססמאות‬ ‫של‬ ‫הצפנה‬
16

‫בפרויקט‬ SSL‫ב‬ ‫שימוש‬
.‫לשרת‬ ‫הלקוח‬ ‫בין‬ ‫שעובר‬ ‫המידע‬ ‫את‬ ‫מצפין‬ http‫ב‬ ‫ולא‬ https‫ב‬ ‫שימוש‬
(Setting up SSL in the Project ‫על‬ ‫לחלק‬ ‫)גלול‬ ‫כאן‬ ‫בתיעוד‬ ‫מופיע‬ ‫טוב‬ ‫הסבר‬
‫לפונקציה‬ ‫להוסיף‬ ‫יש‬ https‫ב‬ ‫רק‬ ‫לאתר‬ ‫לגשת‬ ‫אפשר‬ ‫שיהיה‬ ‫לוודא‬ ‫מנת‬ ‫על‬
‫הבאה‬ ‫השורה‬ ‫את‬ RegisterGlobalFilters
filters.Add(new RequireHttpsAttribute());
17

ASP.net Security

More Related Content

Similar to ASP.net Security (20)

More from Nathan Krasney (18)

ASP.net Security