Nghiên cứu các biện pháp bảo mật cho Ứng dụng web xây dựng trên môi trường net framework (tt)

SQL Server cung cấp báo mật tích hợp sử dụng các kỹ thuật xác nhận của hệ điều hành Kerberos hoặc NTMIL Taternet Protocol Security TPSec Củng cấp các dịch vụ xác thực và mã hoá mức gi

Trang 1

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

Phạm Thị Thuý Quỳnh

NGHIÊN CỬU CÁC PHƯƠNG PHÁP BẢO MẬT ỨNG DỤNG WEB XÂY

DUNG TREN MOI TRUONG NET FRAMEWORK

Chuyên ngành: Truyền dữ liệu và mạng máy tính

Mã số: 60.48.15

TÓM TẮT LUẬN VĂN THẠC SĨ

HÀ NỘI - 2012

Trang 2

Luận văn được hoàn thành tại

THỌC VIỆN CÔNG NGITR BƯU CHÍNIT VIỄN THÔNG:

Người hướng dẫn khoa học: PGS.TS Ngnyễn Linh Giang

Phan bign 1: PGS

Trịnh Nhật Tiên Phản biện 2: PGS.TS Dào Thanh Tĩnh

Luận vău sẽ được bảo vệ trước Hội đông chấm luận văn thạc s tại Học viện Công

nghệ Bưu chinh Viễn thông,

Có thể tìm hiển luận văn tai:

- Thư viện của lọc viện Công nghệ Tư chỉnh Viễn thông,

Trang 3

MỞ ĐẦU

1 Lý do chọn đề tài

Ngày nay với sự phát triển không ngừng của Internet thì ta không thế phủ

nhận những lợi ích của các ứng dụng web: cho phép sứ dụng bắt ký đầu có dịch vụ,

cập nhật và hỗ trợ dé dang Tuy nhién bén cạnh đó thì sự tần công, xâm nhập trải

phép trên Irlemel cũng gia lăng không ngừng Các cuộc lắn công vào website ngày

cảng tính vị hơn Ngày nay công nghệ XI#T cúa Mierosoft được sử dựng rất rộng rãi

trong việc xây dựng cáo ứng đựng sử dụng trang thực tế, vân đẻ an toản của một ứng

dụng là rất quan trọng, đặc biệt là trong các ứng dụng thương mại điện lữ như bán

hang qua mạng, thục hiện chuyển tiên váo tải khoản qua mạng và NET Eramework cưng cấp cho ta rất nhiêu thư viện đủng để tăng cường an ninh cho ứng đụng Vì

nhimg ly do đó mà tôi đã quyết định chọn dễ tài * Nghiêm cứu các biện phúp bản mitt cho ting dung web xây dựng trên môi trường NET Framework” cho luin vin nay

2 Mục đích nghiên cứu

Mục đích nghiền cứu cũa luận văn là tìm hiểu, phân tích các lỗ hỗng bảo mật trong các

tứng dụng web được xả

phap bao về, khắc phục lỗi trong các ứng đụng được xây dựng trên mỗi truờng này

3 Đối tượng và phạm vị nghiên cứu

- Dễi trọng nghiên củu: các ứng dụng web được xây dựng trên môi trường NET

- Diưmn vi nghiên cứu: chỉ nghiên cứu một cách tổng quát các lỗ héng hao mat web

hiện nay và các biện pháp khắc phục Nghiên cứu các kỹ thuật bảo mặt của Net Fromework

4 Phương pháp nghiên cứn:

- Khảo sát thực tẻ: tìm hiểu trên một số lượng người tham gia sử đụng các ứng dụng,

web cụ thể

- Các phương pháp phân tích, dánh giá

- Dùng thực nghiệm để kiểm tra một số biện pháp bão mật ứng, dụng web thường, đùng,

hiện nay

~ Thiết kế trực tiếp một đemo chương trình bão mật cụ thế để rút ra nhận xét, kinh

nghiệm.

Trang 4

CHƯƠNG 1: TONG QU/

1.1 Ứng dụng wcb

Tà một ứng dung chủ/ khách sử đựng giao thức IITTP để tương tác với người ding

bay bệ thống khác

Một ừng dụng web thưởng cỏ kiến trúc gồm:

Lớp trình bày: lép này có nhiệm vụ hiến thị đữ liệu cho người đúng, ngoài ra cẻn có

thêm gác ứng đụng lạo bố cục cho trang web

Lớp ứng dựng: là nơi xứ lý của ủng dụng Web Nó sẽ xứ lý thông tí người dùng yêu

câu, đưa ra quyết định, gửi kết quả đến "lép trình bày” Lớp nảy thường được cải đặt

bằng các kỹ thuật lập trình như CGI, Java, NBT, PHP hay ColdFusien, được Iriển khai trên cáo trình chủ như IEM WebSphere, WebLogic, Apache, 115

Lop 4# liệu: thường là các hệ quản trị đữ liệu (DBMS) chịu trách nhiệm quân lý các

1ile dữ liệu và quyền sử dựng

1.2 Mô hình hiểm hoa

Nói đến hiểm hoa của ứng dụng web ta nên sử dụng cum tir mé hinh hiém hoa vA m6

hinh nay nén được sử dụng trong suốt quá trình thiết kế vả vẻng đời của ứng dụng

Vấn để bảo mật ứng dụng web chính là việc quản lý các rắc rối và thựơ thí các biên

pháp phòng chống hữu ích Các vấn dé cơ bản gồm: xác thực, chứng thực, kiểm tra,

tính tin cậy, tính toàn vẹn, tính sẵn sảng

1.3 Các lỗ hồng bảo mật

Các lỗ hồng bảo mật là những diễm yếu kẻm trên bệ thống hoặc ân chúa trong một dich vụ má dựa vào đó kế tấn công có thể xâm nhập trải phép để thực hiện các hành

động phá hoại hoặc chiếm đoạt tải nguyên bất hợp pháp

Nguyên nhân gây ra những lỗ hỏng bảo mật là khac nhau do lỗi của bản thân hệ

thống, phần mềm cưng cấp hoặc đo người quản trị yếu kém không hiểu sầu sắc các

Trang 5

CHUONG 3: BAO MAT TREN UNG DUNG ASP.NET

3.1 Cac céng nghé thuc thi trong ASP.NET

Cung cap các dịch vụ mức ha tầng dễ thực thị các ứng dang Cac dich vu nay bao gồm

các giao dịch phân tán và các dịch vụ quản lý tải nguyên

Web Services

Cho phép trao déi dér ligu va sy trigu ggi từ xa của ng dụng bằng cách sử dụng các trao đổi thông báo SO.AP đề truyền đữ liệu qua Firewall và giữa các hệ thông hỗn hợp

.NET Remoting

Cung cap khung lam việc cho việc truy cập các đổi tượng phân tán

ADO.NET and Microsoft® SQL Server™ 2000

Cung cap dich vu truy cập cơ sở đữ liệu Nó được thiết kế cho các ứng dung web phan tan SQL Server cung cấp báo mật tích hợp sử dụng các kỹ thuật xác nhận của hệ điều

hành ( Kerberos hoặc NTMIL)

Taternet Protocol Security (TPSec)

Củng cấp các dịch vụ xác thực và mã hoá mức giao vận

Secure Sockets Layer (SSL)

Cung cấp kênh giao tiếp am toàn Dữ liêu gửi qua kênh được mã hoá

3.2 Các trang và diễu khiển Asp.Net an toan

Hầu hết các vụ tắn công yêu câu đầu vào ác ý được truyền qua với các yêu cầu

HTTP Mục đích chíng hoặc là ép buộc cóc ứng dụng thực Ủủ các hoạt động không dược chứng thực hoặc la phả vỡ hoạt dộng binh thường, Điều này giải thích tại sao

việc kiếm tra giá trị đầu vào là một phương pháp phông chống quan trọng với nhiều vụ tấn công và nên được ưu tiêu sử dụng khi phát triển các trang và các diều khiển Web,

Trang 6

2.3.4.1 Hiểm hua và biện pháp phòng chống:

Tiểu các mối đe đoạ và các kiểu tấn công chưng giúp chủng ta nhận ra các phương án phêng chẳng tương ứng và cho phép chúng ta xây đựng các gói assemblies

am toàn va ving chic hon, Cie mdi de doa chink:

œ_ Truy cập không được chứng thực hoặc sự vượt quyền, hoặc cả hai

2.3.4.2 Các lưu ý khi thiết kế gói assembly

Một trong những vân đề quan trọng nhất khi thiết kế mộ

gối assembly là mức

độ tin cậy của môi trường mà gói assembly nảy được sử đụng Nó ảnh hưởng tới các quyển bảo mật truy nhập mã dược cấp cho mä của chủng ta vả với mã gọi mã của chúng ta Diễn này được xác định bởi chính sách bảo mật truy nhập mnã được định

nghĩa bởi người quản trị và nó ảnh hưởng tới các loại tài nguyên mà mã của chúng ta

được cho phép để truy cập và các hoạt động đặc quyền khác có thể thực thú

Thi thiết kế một gội nasembly, ta nên:

e Xáo định mã đặc quyền

œ _ Xác dịnh mức dộ tin cậy của mỗi trưởng má gói assembly sẽ thực thị

œ_ Đông gỏi các mã dậc quyền cấp cao

2.3.4.3 Các lưu ý khi thiết kế lớp

Trang 7

6

2.4 Xây dung thanh phan dich vụ an todn

Các dich vu COM+ duoc biét nhu Enterprise Services, cé thé duoc truy cập từ mã

được quân lý Cac ứng dung Rrlerprise Services bao gôm một hay nhiều các thành phân dịch vụ, đó là các lớp dược quan ly din xuất từ System EnterpriseServices

©- Sựuỹ quyển không dược ràng buộc

ø Thơi bảy đữ liệu câu hình

» Sự từ chối

2.4.2 Các lưu ý khi thiết kế

Bao gém:

Cas

2.5 Xay dung cde dich vu web an toan

2.5.1, Các mỗi hiểm hoa và các biện pháp phòng chống:

Các môi hiểm hoa chính bao gằm:

Thực thí thun số

Phoi bày đữ liện cầu hình

Trang 8

ao gồm:

® Yêu cầu xác hực

œ _ Yêu cầu tính riêng tư vả toàn vẹn

ø - Các đặc tính truy nhập lài nguyên

2.5.3 Mật số vẫn đề quan trọng trong kỹ thuật

Kiểm tra giá trị dầu vào

Xác thực

Chứng thực

Chứng thực phương thức Web,

Trang 9

2.3.1 Role-based secnrity

Bio mat Role based trong NIT Iramework cho phép một ứng dụng Web lạo

các quyết định bảo mật đựa theo đặc tính nhận đạng hoặc các vai thành viên của người

dùng giao tác với ứng dụng, Nếu ứng dựng của chủng ta sử dụng xác thực Windows thi một vai là một nhỏm Windows Nếu ứng dụng của chúng ta sử dụng các dang xác

2.3.2 Code access security

Bao mt tray nhập mã cấp quyền cho đoạn mã khi nó cổ gắng truy cập tới các tài

nguyên được bảo mật như: Šle system, regisry, nerwork, hoặc khi nó cổ gắng thực

tủ các hoại dông đặo quyền khác như: gọi tới các đoạn mã không được quân lý hoặc sử dung reflection,

2.3.3 Các không gian tên xây dựng các ứng dụng web an toàn trên Net

System Security Cryplography

System Security Principal

System Security Pohcy

System Security Permissions

Trang 10

'.Một số kỹ thuật tân công và cách bảo vệ

®- Kiểm soát truy cập web

œ Lợi dụng các thiếu sét trong nhập đữ liệu

« Dê lộ thông tin

2.3 Bảo vệ ứng dung web trén Net Framework

Hiện nay các ứng đụng web xây đựng trên môi trường Net Framework kha nhiểu và được sử dụng rộng rấi Vì vậy việc bão vệ an loàn cho các ứng đụng web này

là hết sức cần thiết Microsoft Net Erareworlc cung cấp nhiều kỹ thuật và nhiều thư

viện giúp chúng ta xây đựng mã và tạo các ứng dụng Web được an toàn Các kỹ thuật chính dược sử đụng là Role-based security và Code access security.

Trang 11

Web Services

.NET Remoting

Trang 12

ao gồm:

Xác thực

Chứng thực

Trang 13

2,52 Các lưu ý khi thiết kế

ao gồm:

Xác thực

Chứng thực

Trang 14

Trang 15

ao gồm:

Xác thực

Chứng thực

Trang 16

Trang 17

Trang 18

» Sự từ chối

Bao gém:

Cas

Trang 19

Web Services

.NET Remoting

Trang 20

» Sự từ chối

Bao gém:

Cas

Trang 21

Trang 22

Trang 23

6

» Sự từ chối

Bao gém:

Cas

Trang 24

Trang 25

2.3.4 Xây dựng các gói assembly an toàn

Trang 26

Trang 27

Web Services

.NET Remoting

Trang 28

Trang 29

Trang 30

Trang 31

Trang 32

Web Services

.NET Remoting

Trang 33

Trang 34

Trang 35

6

» Sự từ chối

Bao gém:

Cas

Trang 36

Trang 37

ao gồm:

Xác thực

Chứng thực

Tiêu đề	Nghiên cứu các biện pháp bảo mật cho Ứng dụng web xây dựng trên môi trường Net Framework
Tác giả	Phạm Thị Thúy Quỳnh
Người hướng dẫn	PGS. TS. Nguyễn Linh Giang, Trịnh Nhật
Trường học	Học viện Công nghệ Bưu chính Viễn thông
Chuyên ngành	Truyền dữ liệu và mạng máy tính
Thể loại	Luận văn thạc sĩ
Năm xuất bản	2012
Thành phố	Hà Nội

Định dạng
Số trang	75
Dung lượng	329,03 KB