ASP.NET

Creare un account locale con privilegi minimi, che disponga però di autorizzazioni sufficienti per l'esecuzione corretta di applicazioni ASP.NET.

Configurare ASP.NET in modo che sia possibile eseguirlo con un account con privilegi minimi.

Microsoft® Windows® XP o Windows 2000 Server con Service Pack 3 e sistemi operativi successivi

Microsoft .NET Framework versione 1.0 con Service Pack 2 e versioni successive

Internet Information Services (IIS) 5.0 o 6.0 (solo quando si utilizza la modalità isolamento di IIS 5.0)

È necessario aver acquisito esperienze nello sviluppo di applicazioni Web ASP.NET e avere una buona conoscenza di funzione e struttura del file machine.config.

È necessario avere acquisito esperienze nella creazione e amministrazione di account utente Windows autonomi o basati su dominio tramite l'utilizzo degli strumenti di amministrazione Windows.

Leggere il modulo 8 "Protezione di ASP.NET". In tale modulo sono riportate ulteriori informazioni sulle funzioni di protezione di ASP.NET, sull'effetto che l'identità del processo di lavoro ASP.NET ha sulle autorizzazioni di un'applicazione in esecuzione e sull'utilizzo della rappresentazione per concedere con facilità a un utente dell'applicazione Web il livello di autorizzazione appropriato.

Utilizzare un account di dominio.

Utilizzare account locali in "mirroring" (ovvero, account in due computer distinti con nomi utenti e password identici). È necessario utilizzare questo metodo quando i computer si trovano in domini distinti senza alcuna relazione di trust oppure sono separati da un firewall e non è possibile aprire le porte necessarie per l'autenticazione NTLM o Kerberos.

L'approccio più semplice consiste nel modificare la password dell'account ASPNET nel server Web impostandola su un valore conosciuto e quindi creare un account denominato ASPNET con la stessa password nel computer di destinazione. Nel server Web, è necessario innanzitutto modificare la password dell'account ASPNET in Utenti e gruppi locali e sostituire le credenziali dell'elemento <processModel> in machine.config. È preferibile evitare di archiviare password non crittografate in machine.config e utilizzare invece aspnet_setreg.exe per memorizzare password crittografate nel Registro di sistema. Per ulteriori informazioni, leggere il modulo 8 "Protezione di ASP.NET".

<processModel enable="true"  
      userName="registry:HKLM\SOFTWARE\YourSecureApp\processModel\ 
                ASPNET_SETREG,userName"  
      password="registry:HKLM\SOFTWARE\YourSecureApp\processModel\ 
                ASPNET_SETREG,password" . . ./> 

È possibile utilizzare le operazioni presentate in questo modulo per creare un account locale con privilegi minimi.

In ASP.NET, la rappresentazione non è attiva nell'impostazione predefinita. Di conseguenza, per l'accesso alle risorse eseguito dall'applicazione Web viene utilizzata l'identità del processo ASP.NET. In questo caso le risorse di Windows devono disporre di un elenco di controllo dell'accesso (ACL) che consenta l'accesso all'account del processo ASP.NET.

Se si attiva la rappresentazione, l'applicazione accede alle risorse utilizzando il contesto di protezione del chiamante originale o l'account utente Internet anonimo (per impostazione predefinita, IUSR_MACHINE), a condizione che IIS sia configurato per l'autenticazione anonima. In questo caso le risorse devono disporre di ACL basati sull'identità del chiamante originale o IUSR_MACHINE.

Durante la creazione di un account personalizzato, rispettare sempre il principio del privilegio minimo, ovvero impostare solo l'insieme minimo di privilegi e autorizzazioni necessari.

Evitare di eseguire ASP.NET utilizzando l'account SYSTEM.

Evitare di assegnare all'account il privilegio "Agisci come parte del sistema operativo".

Per creare un nuovo account locale

Per assegnare privilegi minimi

Per assegnare autorizzazioni NTFS

<identity impersonate="true" 
          userName="registry:HKLM\SOFTWARE\YourSecureApp\ 
                    identity\ASPNET_SETREG,userName" 
          password="registry:HKLM\SOFTWARE\YourSecureApp\ 
                    identity\ASPNET_SETREG,password" /> 

Per configurare ASP.NET in modo che venga eseguito utilizzando il nuovo account

aspnet_setreg -k:SOFTWARE\YourSecureApp\processModel  
              -u:"CustomASPNET" -p:"YourStrongPassword" 

C:\WINNT\Microsoft.NET\Framework\v1.0.3705\CONFIG 

Default:  
<processModel userName="machine" password="AutoGenerate" . . ./> 
Becomes:  
<processModel  
  userName="registry:HKLM\SOFTWARE\YourSecureApp\processModel\ 
            ASPNET_SETREG,userName"  
  password="registry:HKLM\SOFTWARE\YourSecureApp\processmodel\ 
            ASPNET_SETREG,password" . . . />