公開されたASP.NETアプリケーションのセキュリティに関する考慮事項

Question

非常に安全なASP.NETアプリケーションは、私の仕事で書かれなければならず、ベストプラクティスを探してインターネットでトロールするのではなく、どのような考慮事項が必要か、パブリックWebアプリケーションが安全であることを保証します。

もちろん、ユーザーとパスの組み合わせは考慮されていますが、これよりもはるかに深いレベルが必要です。私は、URLを使用して、すなわちアプリケーションのすべての単一のレベルと層の周りに

• を話しては
• Masterpages
• サイトマップ
• パスワードをエンコード
• セッションデータ
• を接続プーリングを書き換えです。
• それは議論のように広大な話題だと正しい1つの唯一の答えは存在しないだろうと私は、このコミュニティのwikiを作ってるんだストアドプロシージャの代わりに、直接SQL文

を使用します。私は、これは私の主旨ではなく、以前のセキュリティのロックダウンが非公開のアプリケーションを介して達成されていることを指摘します。

Answer 1

これは、おそらく実現するよりも大きなタップです。最高のアドバイスは、誰があなたに助言できるかをすでに知っている人を得ることです。私がMicrosoftの文書 "Improving Web Application Security: Threats and Countermeasures"を読むことから始めれば、それは919の印刷されたページに走ることを警告することに失敗する。

Answer 2

• セッションで認証データを格納する代わりにフォーム認証を使用します。
• 明らかにハッシュパスワード。非常に慎重にしたい場合は、md5の代わりにSHA1暗号化を使用してください。

Answer 3

"ストアドプロシージャ"という考え方を、パラメータ化されたクエリを使用するだけで洗練する必要があります。それはそこにあなたの問題の大部分を処理します。 UIのフィールドを制限して、厄介な「;」のような有害な文字を取り除くかエンコードすることもできます...