第 6 單元：外部網路安全性

確保您外部網路 .NET 應用程式的安全

瞭解與實作外部網路架構應用程式相關的安全性問題及建議方案，例如：

決定外部網路架構分散式 Web 應用程式中之驗證、授權及安全通訊的最佳實作方法。

Windows XP 或 Windows 2000 Server (含 Service Pack 3) 及更新的作業系統

Microsoft Internet Information Services (IIS) 5.0 及更新版本

Microsoft Active Directory

.NET Framework 1.0 版 (含 Service Pack 2) 及更新版本

SQL Server 2000 (含 Service Pack 2) 及更新版本

您必須具有使用 ASP.NET、SQL Server 及 IIS 進行開發及設定它們的經驗。

您必須具有設定 Windows 安全性及 Active Directory 的經驗。

您必須具有設定 Enterprise Services (COM+) 應用程式的經驗。

請閱讀第 1 單元＜簡介＞。當中定義了驗證、授權及安全通訊對於分散式 Web 應用程式的重要性。

請閱讀第 2 單元＜ASP.NET 應用程式的安全性模型＞。當中提供了建立分散式 ASP.NET Web 應用程式時所使用之架構及技術的概觀，並強調指出驗證、授權及安全通訊在何處適用於此架構。

搭配使用目前的單元與下列示範此單元中所討論之技術的單元：

與網際網路案例相比，您具有更嚴格的使用者帳戶控制。

與具有網際網路使用者的應用程式相比，您具有更高的使用者帳戶信任層級。

公開 Web 服務

公開 Web 應用程式

出版公司經由網際網路公開 Web 服務。

由出版商驗證合作公司 (非個別使用者) 的憑證 (X.509 用戶端憑證)，以授權存取資源。出版商不需要知道在合作公司使用者的個別登入。

用戶端憑證會對應到出版公司的 Active Directory® 目錄服務帳戶。

外部網路包含另一套 Active Directory，有別於 (內部) 公司的 Active Directory。外部網路 Active Directory 在單獨的樹系中，它提供個別的信任界限。

Web 服務授權是根據對應的 Active Directory 帳戶而定。您可以根據合作公司的身分識別 (以每家公司的個別 Active Directory 帳戶表示)，來使用不同的授權決策。

您可用對應 ASP.NET Web 服務處理序身分識別的單一受信任連線，存取資料庫。

從 Web 服務擷取的資料是機密的，在傳輸 (出版公司內部或網際網路外部進行傳送) 時必須確保其安全。

建立自訂 ASP.NET 帳戶 (請參閱本手冊中的＜How To：建立自訂帳戶以執行 ASP.NET＞

建立具有最小權限的資料庫帳戶 (請參閱第 12 單元＜資料存取安全性＞)

在網頁伺服器上設定 SSL (請參閱本手冊中的＜How To：在網頁伺服器上設定 SSL＞

設定 IPSec (請參閱本手冊中的＜How To：使用 IPSec 在兩部伺服器間進行安全通訊＞

設定通過防火牆的 IPSec (請參閱 Microsoft® 知識庫文件 Q233256＜How to Enable IPSec Traffic Through a Firewall (英文)＞。

使用 SSL 呼叫 Web 服務 (請參閱本手冊中的＜How To：使用 SSL 呼叫 Web 服務＞)；在合作公司內需要這種解決技術

憑證管理及基礎結構不在本主題討論的範圍之內，若需相關資訊，請在 Microsoft TechNet 上搜尋＜Certificates and Authenticode (英文)＞。

合作公司的 Web 應用程式可以選擇一種驗證機制，以驗證和授權其內部的使用者。這些使用者不會傳送到 Web 服務做進一步驗證。

合作公司的 Web 應用程式會代替其使用者呼叫 Web 服務。使用者不可直接呼叫 Web 服務。

合作公司的 Web 應用程式會使用用戶端憑證，向 Web 服務證明其身分識別。

如果夥伴應用程式是一種 ASP.NET Web 應用程式，則它必須使用中繼跨處理序元件 (Enterprise Services 應用程式或 Windows 服務)，載入憑證並將之轉送到 Web 服務。
若需為何需要此項作業以及完成本作業之步驟的相關資訊，請參閱本手冊中的＜How to：使用 ASP.NET 用戶端憑證呼叫 Web 服務＞。

網頁伺服器上的 ASP.NET 是以最小權限的本機帳戶 (預設 ASPNET 帳戶) 執行，因此可減輕攻擊的潛在破壞。

合作公司的 ASP.NET Web 應用程式使用「Windows 整合式」驗證並執行授權，以決定可存取 Web 服務的人員。

合作公司的 ASP.NET Web 應用程式使用中繼 Enterprise Services 應用程式擷取用戶端憑證，並呼叫 Web 服務。

出版公司使用夥伴組織名稱 (包含在憑證內)，在 IIS 中執行憑證對應的工作。

Web 服務使用對應的 Active Directory 帳戶，來執行以 PrincipalPermission 要求及 .NET 角色檢查的授權。

對 SQL Server 執行 Windows 驗證，表示您不用在網頁伺服器上儲存憑證，也不用透過內部網路將憑證傳送到 SQL Server 電腦。如果使用 SQL 驗證，則在應用程式中以及在網路上傳送時，確保連接字串 (包含使用者名稱和密碼) 的安全非常重要。在 Web 服務及資料庫之間傳送連接字串時，請使用 DPAPI 或第 12 單元＜資料存取安全性＞中所討論的其中一種替代安全儲存策略，儲存連線字串，並使用 IPSec 保護連接字串 (以及機密應用程式資料)。

合作公司和 Web 服務間的 SSL 能保護在網際網路上傳送的資料。

Web 服務和資料庫間的 IPSec 能保護在公司網路上資料庫間來回傳送的資料。在夥伴和出版商經由私人網路通訊的案例中，除了安全通訊外，還可能會使用 IPSec 進行電腦驗證。

在資料庫伺服器上使用重複的本機 Windows 帳戶 (在 IIS 上與 ASP.NET 處理序帳戶相符的帳戶)，會增加管理負擔。密碼必須定期執行手動同步更新。

由於 .NET 角色安全性是以 Windows 群組成員資格為基礎，所以這個方案有賴於在正確的細微層次上設定 Windows 群組，以符合存取應用程式的使用者 (共用相同安全性權限) 類別。在本案例中，Active Directory 帳戶必須是「夥伴」群組中的成員。

資料庫不知道誰是原始呼叫者。要如何才可以建立稽核追蹤？
稽核 Web 服務中的使用者 (合作公司) 活動。使用預存程序參數，在應用程式層次上將合作公司的身分識別傳送到資料庫。

夥伴 Web 應用程式會接受以「表單」登入網頁提供的憑證，或使用 IIS「基本」驗證之登入對話方塊提供的憑證。

針對外部網路之周邊網路 (亦稱為 DMZ、非軍事區域和過濾子網路) 中的個別 Active Directory，對憑證進行驗證。外部網路 Active Directory 在單獨的樹系中，它提供個別的信任界限。

以對應到 ASP.NET Web 應用程式處理序身分識別的單一受信任連線存取資料庫。

Web 應用程式授權是根據 GenericPrincipal 物件 (建立為「表單」驗證處理程序的一部份) 或 WindowsPrincipal 物件 (如果使用「基本」驗證) 而定。

從 Web 應用程式擷取的資料是機密的，必須確保其在傳輸 (在出版公司內部或在網際網路上進行外部傳送) 時的安全。

網頁伺服器上的 ASP.NET 是以最小權限的本機帳戶 (預設 ASPNET 帳戶) 執行，因此可減輕攻擊的潛在破壞。

SSL 用於瀏覽器和 Web 應用程式之間，以保護「表單」驗證或「基本」驗證的憑證 (雖然「基本」驗證使用 Base64 編碼，但兩者都以純文字傳送)。SSL 也會保護從 Web 應用程式傳回之應用程式特定的資料。

對於「表單」驗證，所有網頁 (不僅只有登入網頁) 都使用 SSL，以在初始驗證後，保護所有後續 Web 要求所傳送的驗證 Cookie。

如果 SSL 只用在初始登入網頁上加密傳送的驗證憑證，則您應確定「表單」驗證票證 (包含在 Cookie 中) 有受到保護，因為在每個後續 Web 要求中，票證都會在用戶端和伺服器之間傳送。若要加密「表單」驗證票證，請依下列所示設定 <forms> 項目的 protection 屬性，並使用 FormsAuthentication 類別的 Encrypt 方法加密票證。

<authentication mode="Forms">
  <forms name="MyAppFormsAuth" 
       loginUrl="login.aspx" 
       protection="All"
       timeout="20" 
       path="/" >
  </forms>
</authentication>

protection="All" 屬性會指定當應用程式呼叫 FormsAuthentication.Encrypt 時，是否應驗證 (檢查完整性) 及加密票證。建立驗證票證時，請呼叫這個方法，一般是在應用程式的 Login 按鈕事件處理常式之中。

string encryptedTicket = FormsAuthentication.Encrypt(authTicket);

若需「表單」驗證及票證加密的相關資訊，請參閱第 8 單元＜ASP.NET 安全性＞。

同樣地，因為所有網頁要求上都會傳送「基本」驗證的憑證，而不是只有在使用者提供「基本」驗證憑證的初始網頁上，所以對於「基本」驗證，所有網頁也都使用 SSL。

若為「基本」驗證，ASP.NET 會自動建立 WindowsPrincipal 物件，來代表經過驗證的呼叫者，並將之與目前的 Web 要求 (HttpContext.User) 建立關聯，此時該物件由 .NET 授權 (包括 PrincipalPermission 要求及 .NET 角色) 使用。

若為「表單」驗證，您必須開發程式碼，針對 Active Directory 驗證所提供的憑證，並建構 GenericPrincipal，來代表經過驗證的使用者。

對 SQL Server 執行 Windows 驗證，表示您不用在網頁伺服器上儲存憑證，也不用透過內部網路將憑證傳送到 SQL Server 電腦。

Web 服務和資料庫間的 IPSec 能保護在公司網路上資料庫間來回傳送的資料。

在資料庫伺服器上使用重複的本機 Windows 帳戶 (在 IIS 上與 ASP.NET 處理序帳戶相符的帳戶)，會增加管理負擔。密碼必須定期執行手動同步更新。

「基本」驗證會導致在瀏覽器中出現快顯對話方塊。若要提供更順暢的登入，請使用「表單」驗證。

外部網路上有一個個別的 SQL Server 資料庫，資料是從內部資料庫複寫到外部網路資料庫。

路由器用於拒絕從外部網路到公司網路的連線。建立連線的另一種方式就是使用特定的高連接埠。

建立從公司網路到外部網路的連線，應透過具有增強式稽核及記錄功能的專用伺服器進行，且在存取外部網路之前必須先透過該伺服器驗證使用者。

請參閱下列 Microsoft TechNet 文件：

若需對 Active Directory 使用「表單」驗證的相關資訊，請參閱本手冊中的＜How To：對 Active Directory 使用表單驗證＞。