क्या वेब.कॉन्फिग फ़ाइल में संवेदनशील जानकारी डालना बुरा व्यवहार है?

Question

किसी व्यवस्थापक के लिए समूह को संशोधित करना आसान बनाने के प्रयास में उपयोगकर्ताओं को मेरे एएसपी .NET एमवीसी वेब एप्लिकेशन के खिलाफ अधिकृत किया गया है, मैंने अपने वेब.कॉन्फिग में एपसेटिंग के रूप में समूह के नाम रखे हैं।

<add key="User" value="VDP ICMD Users"/> 
<add key="SuperUser" value="VDP ICMD Super Users"/> 
<add key="Administrator" value="VDP ICMD Administrator"/> 

वास्तविक सक्रिय निर्देशिका समूह नाम से संबंधित मान। तब मेरे नियंत्रकों, अपने कस्टम AuthorizeAttribute का उपयोग करने में मैं बस लिख सकते हैं

[AuthorizeAD(GroupKeys = "User")] 

मेरे सवाल है, यह बुरा व्यवहार एक Web.config फ़ाइल में समूह के नाम, जहां वे आसानी से बदला जा जा सकती है, जैसी संवेदनशील जानकारी डाल करने के लिए है? क्या सर्वर के लिए लॉग इन करने के अलावा किसी के लिए Web.config फ़ाइल तक पहुंचना आसान है?

Answer 1

यदि यह web.config यह आपके infraestructure और सुरक्षा नीतियों की निर्भर करता है करने के लिए उपयोग करने के लिए आसान है या नहीं। यह एक ब्राउज़ करने योग्य फ़ाइल नहीं है, इसलिए यदि कोई वेब सर्वर को चोरी करना चाहता है तो आपके सर्वर में प्रवेश करने की आवश्यकता है। (एएसपी.NET प्रवाह पर एक और विकल्प मौजूदा या भविष्य में सुरक्षा छेद होगा, यह पहले हुआ था, लेकिन हमें उम्मीद है कि यह कम संभावना वाला मामला होगा)।

जितना संभव हो उतना कम संवेदनशील जानकारी स्टोर करना एक अच्छा अभ्यास है लेकिन कुछ भी नहीं है।

हालांकि आप अपनी कॉन्फ़िगरेशन फ़ाइल पर समझदार जानकारी को एन्क्रिप्ट कर सकते हैं। Here आपके पास यह चलने का तरीका है कि यह कैसे करना है।

Answer 2

सामान्य रूप से तब तक सुरक्षित रहना चाहिए जब तक कि आप सादे पाठ पासवर्ड नहीं डालते हैं जिन्हें किसी भी व्यक्ति द्वारा आंतरिक रूप से चोरी किया जा सकता है, जिस पर तैनाती फ़ोल्डरों तक पहुंच है।

आईआईएस और एएसपी.नेट इंजन इसके ऊपर से web.config फ़ाइल तक पहुंच को रोकने के लिए डिज़ाइन किए गए हैं, इसलिए ऐसी फ़ाइल को ब्राउज़र या HTTP कनेक्शन के माध्यम से कभी भी स्नीफ या चोरी नहीं किया जाएगा।

ने कहा, अनुभव के आधार पर, मैं उन जानकारी को डेटाबेस में कॉन्फ़िगरेशन तालिका में रखूंगा और एएसपी.NET कोड में रैपिंग कक्षाएं बनाएगा जो ऐसे कॉन्फ़िगरेशन मानों के पढ़ने को समाहित करता है ताकि बहुत अधिक तर्क न हो उन सभी डेटा को लाने के लिए।

डेटाबेस में कॉन्फ़िगरेशन पैरामीटर के फायदे न्यूनतम आसान या शून्य परिनियोजन पर हैं, मैन्युअल फ़ाइल संपादन, स्वचालित बैकअप के साथ बदलने में आसान और आपकी मुख्य चिंता का उत्तर देने के लिए, आपका डेटाबेस पहले से ही अनधिकृत पहुंच से संरक्षित होना चाहिए।

Answer 3

नहीं। यह किसी दिए गए संदर्भ में सुरक्षित नहीं है।

समूह नाम आपकी वेबसाइट के साथ एडी के खिलाफ कामकाजी प्रमाणीकरण को बढ़ावा देने की कुंजी है। आपके परिदृश्य में, यदि आपके संगठन में कोई व्यक्ति उच्च प्रतिबंध वाले समूह में है, तो वह वेब.कॉन्फिग फ़ाइल तक पहुंचकर पुरस्कारों को बढ़ा सकता है और अपने स्वयं के लेखन/संपादन पुरस्कारों को बढ़ाने के लिए समूह नाम जोड़/संपादित कर सकता है, उदाहरण के लिए या गोपनीय जानकारी तक पहुंच सकता है , वेतन या अनुबंध की तरह, या यहां तक ​​कि एक कंपनी के लिए सीईओ योजना भी। क्या आप ऐसी परेशानी चाहते हैं?

MSDN लेख पढ़ें How to encrypt Web.config