Guías técnicas Grupo Danysoft: Aplicaciones Web seguras con ASP.NET

Transcripción

1 Guías técnicas Grupo Danysoft: Aplicaciones Web seguras con ASP.NET Leonardo Diez Equipo Grupo Danysoft septiembre de (902)

2 Este documento se ha realizado utilizando Doc-To-Help, distribuido por : Danysoft Internacional Avda de España Alcobendas Madrid Tfno Fax danysoft@danysoft.com - Página 2/7

3 Guías Técnicas Grupo Danysoft: Aplicaciones Web seguras con ASP.NET Aplicaciones web seguras con ASP.NET Gran parte de las aplicaciones web que se construyen en la actualidad tienen como requisito la implementación de algún tipo de seguridad. A las aplicaciones de intranet/extranet de las empresas sólo pueden acceder una cantidad limitada de usuarios. Esto no ocurre en el caso de los sitios web de Internet, pero estos suelen solicitar a sus usuarios que se autentifiquen para acceder a determinados recursos, ya sea porque han pagado para acceder a dichos recursos, o porque el sitio desea tener más información del usuario. Cualquiera sea el caso, la aplicación web debe poder lidiar con estos aspectos de forma segura y confiable. Siguiendo con la filosofía que propone la plataforma.net, ASP.NET provee las bases para que la implementación de seguridad de una aplicación web sea un proceso sencillo y rápido, pero siempre suministrándonos la posibilidad de adaptarla a nuestras necesidades específicas. Creando el proyecto Para conocer la forma en que abarca este tema ASP.NET, trabajaremos sobre un sitio de Internet imaginario: Este sitio permite acceder a transmisiones de video de eventos deportivos a través de Internet. Lógicamente, este servicio no es gratuito; es necesario abonar una cuota mensual para acceder a sus contenidos. Por otro lado, como el sitio está en etapa de seducción de abonados, permite temporalmente el acceso gratuito a las transmisiones de boxeo. Para crear este sitio de Internet creamos un proyecto de aplicación web con VB.NET, dentro del entorno de Visual Studio.NET. No es obligatorio utilizar esta herramienta de desarrollo, aunque hará mucho más sencillo y ágil nuestro proceso. Quitamos la página WebForm1.aspx creada con el proyecto y añadimos una página llamada Default.aspx, y la establecemos como página de inicio. Esta página es de acceso público y contiene, principalmente, vínculos a las diferentes secciones del sitio. Cada sección está en un subdirectorio del proyecto y representa un deporte en particular. Tendremos una carpeta motociclismo, otra carpeta tenis y así con cada deporte. Recordemos que debe haber una carpeta boxeo, que será la que tenga permitido el acceso gratuito. Dentro de cada carpeta existe una página Transmision.aspx. Implementando la seguridad Una vez que tenemos nuestro sitio funcionando, podemos pasar al tema de la seguridad. Esto es algo interesante a destacar de la forma en que ASP.NET se ocupa de la seguridad: no necesitamos tener muy en cuenta este aspecto durante su diseño, puede ser implementada sin necesidad de hacer cambios en las páginas. - Página 3/7

4 Lo primero que hacemos es acceder al fichero web.config y buscar la sección <authentication>. En esta sección se define el tipo de autenticación que utilizamos. El proceso de autenticación tiene como objetivo indicar al sistema la identidad de cada usuario que accede. ASP.NET nos da tres opciones de autenticación: Windows, Passport o de formularios. La autenticación de Windows se basa en los usuarios de Windows del servidor Web o del dominio donde éste se encuentra. Este tipo de autenticación suele usarse en aplicaciones intranet/extranet de empresas, a las que sólo pueden acceder los usuarios que tienen un usuario creado en los servidores de su empresa. La cantidad de usuarios de un sitio que utiliza este tipo de autenticación debería ser limitada, es por eso que esta autenticación no suele ser utilizada para sitios de Internet. La autenticación Passport utiliza los servicios de autenticación que ofrece Microsoft. Cuando un usuario sin autenticar intenta acceder a un recurso al que no tiene permisos de acceso, se lo envía a la página de Passport para que ingrese los datos de su cuenta Passport. Una vez autenticado allí, el usuario vuelve al sitio original, llevando consigo un identificador de usuario, que el sitio podría utilizar para identificar al usuario. Esto permite que el usuario no tenga que memorizar una contraseña para cada sitio web en el que se registra, sino que utiliza siempre la misma cuenta. Por otro lado, la aplicación web depende de que el servicio esté funcionando, además de implicar un gasto extra, ya que este servicio es pago. La autenticación de formularios permite definir una página de ingreso en la que el usuario debe ingresar sus datos para autenticarse. Cuando algún usuario intenta acceder a algún recurso al que no tiene permiso de acceso, el sistema lo enviará automáticamente a esta página. Esta es la opción que utilizaremos en nuestro sitio, y la que probablemente utilicen la mayoría de los sitios web de Internet creados con ASP.NET. Como hemos dicho, utilizaremos el método de autenticación de formularios, por lo que modificamos la etiqueta <authentication> para que tenga un aspecto así: <authentication mode="forms"> <forms loginurl="login.aspx" /> </authentication> El atributo loginurl de la etiqueta <forms> indica la página a la cual el usuario será redireccionado en el caso de no tener permisos para acceder al recurso que intenta acceder. La página Login.aspx la implementaremos más adelante. Hemos definido de qué forma se identifican los usuarios en nuestro sitio, pero debemos especificar a qué recursos puede acceder cada usuario. Este proceso se denomina autorización y se configura en la sección <authorization> del fichero de configuración. Dentro de esta sección se pueden añadir elementos <allow> y <deny> para permitir o denegar, respectivamente, el acceso a los recursos presentes en el directorio donde se encuentra el fichero web.config y sus subdirectorios. En el fichero web.config que crea Visual Studio.NET se permite el acceso a cualquier usuario. Como quiero permitir el acceso a la página Default.aspx a cualquier usuario no debo modificar este fichero. Pero entonces, cómo hago para indicar que no quiero permitir el acceso anónimo a las carpetas tenis, básquet, etc.? Para eso primero debo conocer en más detalle cómo funcionan los ficheros de configuración. - Página 4/7

5 Guías Técnicas Grupo Danysoft: Aplicaciones Web seguras con ASP.NET Ficheros de configuración Los ficheros de configuración son ficheros XML que permiten almacenar las opciones de configuración elegidas para una aplicación. Esto evita tener que recompilar la aplicación cada vez que se desea cambiar una configuración. Además, como el XML es realmente sólo texto, puede ser modificado de forma muy sencilla con cualquier editor de texto. Otra característica de los ficheros de configuración es la forma jerárquica en que funcionan. Todo equipo que tiene instalado el.net Framework posee un fichero llamado machine.config en el que se definen configuraciones para toda la máquina. Luego cada aplicación puede, en su fichero de configuración, añadir, modificar y hasta quitar las configuraciones definidas en dicho fichero. Además, en el caso de las aplicaciones web esto también funciona para los directorios y subdirectorios. El fichero web.config modifica las configuraciones establecidas en machine.config, afectando sólo a la aplicación web en que se encuentra. A su vez, dentro de un subdirectorio de esta aplicación puede haber otro fichero web.config, que sobrescriba los valores definidos en el web.config del directorio padre. Los valores que no son alterados se toman del fichero de configuración padre que los establezca. Ahora que conocemos cómo funcionan los ficheros de configuración, probablemente nos imaginemos la forma en que podemos resolver el tema de la seguridad para nuestras carpetas. Debemos crear un fichero web.config dentro de cada carpeta. Cada fichero web.config debería tener este aspecto: <?xml version="1.0" encoding="utf-8"?> <configuration> <system.web> <authorization> <deny users="?" /> </authorization> </system.web> </configuration> El símbolo? se utiliza para hacer referencia a los usuarios anónimos. Página de ingreso Ya hemos determinado la seguridad de nuestra aplicación, si la ejecutamos podremos ver que si intentamos acceder a alguna sección restringida, la aplicación nos enviará a la página Login.aspx. Como esta página no existe, veremos un mensaje de error. El último paso a seguir es crear esta página de autenticación. Creamos la interfaz de la página con controles de servidor y nos quedará algo más o menos así: - Página 5/7

6 Hacemos doble clic sobre el botón Ingresar y nos aparece el código. Aquí es donde debemos verificar si los datos que el usuario nos envía son correctos. Lo interesante de esto es que todo este proceso es totalmente libre, nosotros determinamos qué datos le pedimos al usuario, qué hacemos con esos datos y si el usuario está autenticado o no. En este caso deberíamos acceder a la base de datos para ver si el usuario existe y si la contraseña es correcta pero, para simplificar el ejemplo, simplemente vamos a autorizar a cualquier usuario que cumpla con alguna condición arbitraria, que permita ingresar valores que sean correctos y otros que no. En mi caso verificaré que el nombre de usuario sea Leonardo. En base al resultado de esta condición informamos al sistema el resultado del proceso de autenticación. Para esto utilizamos la clase FormsAuthentication. Esta posee diferentes métodos estáticos, entre los que está RedirectFromLoginPage. Este método le crea una cookie al usuario y lo redirecciona a la página solicitada originalmente. La clase también provee métodos para hacer cada paso de este proceso de forma separada, lo que permitiría personalizar más este proceso. El código fuente que nos queda es el siguiente: Imports System.Web.Security... Private Sub Button1_Click(ByVal sender As System.Object, _ ByVal e As System.EventArgs) Handles Ingresar.Click If Nombre.Text = "Leonardo" Then FormsAuthentication.RedirectFromLoginPage(Nombre.Text, True) End If End Sub Como la clase FormsAuthentication está en el espacio de nombres System.Web.Security, debemos añadir la línea del Imports al comienzo del fichero, para evitar tener que escribir System.Web.Security.FormsAuthentication cada vez que deseemos acceder a dicha clase. Con este último paso terminamos nuestro ejemplo. Existen muchas más posibilidades que las que se plantean aquí, principalmente trabajando con la autenticación de Windows; este pequeño ejemplo es un punto de partida para investigar con mayor profundidad esta parte de ASP.NET. - Página 6/7

7 Guías Técnicas Grupo Danysoft: Aplicaciones Web seguras con ASP.NET Comentarios y más información Puede enviar cualquier comentario sobre este artículo a info@danysoft.com, si desea ampliar los contenidos puede hacerlos en los cursos que impartirmos sobre la plataforma.net y que puede ver en Página 7/7