Sécurisation des applications ASP.NET

Développement web avec
Visual Studio 2012 et ASP.NET
Module 9 – Sécurisation des Applications ASP.NET
Copyright © 2013, Mostefai Mohammed Amine

Développement web avec ASP.NET et Visual Studio 2012
Objectifs du module
 Permettre aux développeurs sécuriser les applications web ASP.NET
2

Plan du module
 Mécanismes de sécurisation
 Mise en place des mécanismes de sécurisation
3

DéveloppementwebavecASP.NETetVisualStudio2012
Module9-SécurisationdesApplicationsASP.NET
Section 1 : Mécanismes de
sécurisation
4

Section 1 : Mécanismes de Sécurisation
Introduction
 La sécurité est un des plus grands challenges de l’internet
 La sécurisation consiste à protéger des zones d’applications d’accès non
autorisé
 La sécurisation répond à deux questions essentielles : « qui est qui ? » et
« qui peut faire quoi ? »
 ASP.NET fournir deux mécanismes, l’authentification et l’autorisation qui
permettent de répondre à ces deux questions
5

L’Authentification
 L’authentification consiste à identifier les utilisateurs par des informations
personnelles telles que le nom d’utilisateur ou l’empreinte digitale
 L’authentification consiste à vérifier que les informations d’identification
fournies par les utilisateurs sont valides
6

L’Autorisation
 L’autorisation est un processus qui survient après l’authentification
 L’autorisation consiste à vérifier si un utilisateur peut accéder à une
ressource et si oui, avec quel niveau d’accès (contrôle total, lecture
uniquement,…)
7

Mécanismes d’Authentification
8
Authentification
Forms
Authentification
Windows

Authentification « Forms »
 Dans « Forms », toute demande d’authentification renvoie vers une forme
web d’authentification intégrée à l’application
 Pour sauvegarder l’état de l’authentification, une cookie est crée et
rattachée à la réponse d’authentification
 Des composants comme « Login » permettent d’implémenter
l’authentification « Forms »
9

Authentification « Windows »
 Dans ce mode, l’authentification est déléguée au système d’exploitation
« Windows »
 Dans ce mode, c’est IIS qui vérifie l’identité de l’utilisateur en demandant
aux services d’authentification de Windows si l’utilisateur est valide
 Le développeur n’est pas obligé de développer la forme de connexion
 Ce mode s’adapte mieux aux applications intranet qu’aux applications
internet
10

Processus d’authentification dans Forms
11
L'ut ilisat eur demande une
ressource sécurisée
[Pr ésence de cookie
d'aut hent ificat ion et
ut ilisat eur valide]
Redirect ion vers la forme
de login
Vérificat ion ut ilisat eur /
mpd ent rés
[MDP et ut ilisat eur
valides]
Créat ion du cookie
d'aut hent ificat ion
Accès à la ressource
accept é
Accès à la ressource
rejet é
NON
OUI
OUI

Mécanismes d’autorisation
 Pour simplifier la gestion, les utilisateurs sont groupés en rôles
 Chaque rôle peut être constitué de plusieurs utilisateurs et un utilisateur
peut appartenir à plusieurs rôles
 Pour simplifier la gestion, les autorisations sont faites par rôles
 Dans la configuration, les balises « allow » et « deny » permettent de
définir les autorisations des rôles
12

DéveloppementwebavecASP.NETetVisualStudio2012
Section 2 : Mise en place des
mécanismes de sécurisation
13

Section 2 : Mise en place des mécanismes de sécurisation
Introduction
 La mise en place nécessite de définir des zones facilement identifiables
dans l’application (en utilisant des répertoires par exemples)
 Utiliser la configuration pour définir l’autorisation et l’authentification
 Utilisation des contrôles de login pour faciliter l’intégration des
mécanismes d’authentification
14

Contrôles de Login
15
Contrôle Description
Login Permet aux utilisateurs de s’authentifier (entrer nom d’utilisateur +
mdp) avec tous les variantes qui vont avec (par exemple lien
d’inscription, mot de passe perdu,…)
LoginName Le nom de l’utilisateur actuellement connecté
LoginStatus Affiche un lien d’authentification en mode déconnecté et un lien
de déconnexion en mode connecté
LoginView En utilisant les modèles (templates), affiche des informations
variées selon le statut de connexion (connecté, déconnecté)
CreateUserWizard Assistant de création d’un utilisateur

Exemple de configuration d’authentification
<authentication mode="Forms" >
<forms loginUrl="~/Login.aspx">
<credentials passwordFormat="Clear">
<user name="mohammedamine" password="mostefai"/>
</credentials>
</forms>
</authentication>
16

Fournisseurs
 Pour pouvoir gérer l’authentification, des fournisseurs de services doivent être utilisés
 Un fournisseur de service d’authentification est une classe héritant de
« MembershipProvider »
 Un fournisseur de gestion des rôles est une classe héritant de «RoleProvider »
 ASP.NET fournit deux classes « SqlMembershipProvider » et « SqlRoleProvider »
simplifiant la gestion des utilisateurs et des rôles
 L’utilisation des fournisseurs SQL nécessite la création de la base « ASPNETDB » par
l’outil aspnet_regsql
 L’utilisateur peut créer ses propres fournisseurs en créant des classes héritant de
« MembershipProvider » et « RoleProvider »
17

Tutoriel 9.1 : Mise en place de l’authentification et des
autorisations
• Lancer Tutoriel 9.1, étape 1 - 5
18

Accès par code
 Pour accéder à l’utilisateur authentifié en cours, utiliser la propriété
« User »
 Pour connaître si l’utilisateur appartient à un rôle, utiliser « IsInRole »
19

Sécurisation des applications ASP.NET

Contenu connexe

Tendances

En vedette

Similaire à Sécurisation des applications ASP.NET

Plus de Mohammed Amine Mostefai

Sécurisation des applications ASP.NET