Тема 2. Аутентифікація і авторизація користувачів
Аутентифікацією (authentication) називається процес ідентифікації користувачів.
Авторизація (authorization) — це процес надання доступу користувачам на основі їхніх ідентифікаційних даних. Аутентифікація поряд з авторизацією являють собою засоби захисту.
2.1. Анонімний доступ
Більшість відкритих Web-сайтів працюють у режимі анонімного доступу. Ці сайти містять загальнодоступну інформацію, яку можуть переглядати всі бажаючі, тому вони не проводять аутентифікацію користувачів. Web-додатки ASP.NET надають анонімний доступ до серверних ресурсів за допомогою уособлення. У даному контексті уособлення (impersonation) — це призначення облікового запису невідомому користувачеві.
За замовчуванням обліковий запис для анонімного доступу має ім'я у вигляді IUSER_ім'я_комп'ютера і використовується для керування доступом анонімних користувачів до серверних ресурсів. Щоб переглянути або змінити привілеї облікового запису для анонімного доступу за допомогою оснащення Computer Management (керування комп'ютером), виконайте наступні дії.
Увійдіть на сервер як адміністратор.
Виберіть із меню Start (Пуск) пункт Administrative Tools\Computer Management (Адміністрування\ Керування комп'ютером), щоб запустити консоль Computer Management.
Виберіть у списку ліворуч елемент Local Users And Groups (Локальні користувачі й групи), потім папку Users, щоб відкрити список авторизованих користувачів для цього комп'ютера.
У списку праворуч двічі клацніть лівою кнопкою анонімний обліковий запис із ім'ям у формі IUSER_ім'я_комп’тера - оснащення Computer Management відкриє вікно властивостей облікового запису.
Для перегляду груп, до яких належить цей обліковий запис, перейдіть на вкладку Member Of (Членство в групах). За замовчуванням анонімні користувачі є членами групи Guests, що володіють обмеженими привілеями.
Права доступу для анонімних користувачів можна обмежувати, установлюючи дозволи Windows на доступ до файлів. Для більш надійного захисту сервера варто використовувати файлову систему NT (NTFS), тому що більш ранні файлові системи, такі, як FAT і FAT32, не забезпечують безпеку на файловому рівні.
2.2. Доступ аутентифікованих користувачів
Як говорилося раніше, анонімний доступ підходить для роботи з відкритою інформацією, але якщо додаток містить конфіденційні відомості або працює з ними, наприклад, розміщає замовлення, всі користувачі повинні проходити аутентифікацію і авторизацію.
Існує три основних способи аутентифікації і авторизації користувачів Web-додатків ASP.NET:
аутентифікація Windows - застосовує для ідентифікації і авторизації список користувачів сервера. Доступ до серверних ресурсів надається або забороняється залежно від привілеїв облікового запису користувача. Працює аналогічно звичайним механізмам мережної безпеки Windows;
аутентифікація Forms - направляє користувача на вхідну Web-форму, де він уводить своє ім'я і пароль, після чого форма ідентифікує його за допомогою списку користувачів або бази даних, підтримуваної додатком;
аутентифікація Passport - направляє користувачів на сайт Microsoft, де вони за допомогою єдиного імені і пароля одержують доступ до декількох Web-сайтів. Зареєстрований користувач повинен увести ім'я і пароль служби Passport, які додаток потім звіряє зі списком користувачів служби Passport.
У кожного способуі включаючи анонімний доступ, є свої переваги і недоліки. У таблиці 2.1 перераховані методи аутентифікації, оптимальні для різних типів Web-додатків.
Таблиця 2.1 Методи, що рекомендують, аутентифікації користувачів Web-додатків
Тип додатка |
Метод, що рекомендує, аутентифікації |
Описання |
Відкриті Web-додатки, які працюють в Інтернеті |
Анонімний доступ |
Це звичайний метод доступу до Web-сайтів, не потребуючий реєстрації. Безпека закритих ресурсів забезпечується за допомогою файлових дозволів NTFS |
Web-додатки, що працюють в інтрамережі |
Аутентифікація засобами Windows |
Аутентифікація користувачів мережі виконується контролером домена. Користувачі мережі одержують доступ до ресурсів Web-додатка відповідно до своїх привілеїв на сервері |
Закриті корпоративні Web-додатки |
Аутентифікація засобами Windows |
Корпоративні користувачі одержують доступ до Web-додатків за допомогою облікових даних користувача корпоративної мережі. Адміністрування користувальницьких облікових записів виконується за допомогою інструментів мережної безпеки Windows |
Комерційні Web-додатки |
Аутентифікація за допомогою вхідної форми |
У додатках, що збирають відомості для виставляння рахунків і відправлення товарів, варто застосовувати аутентифікацію за допомогою форм, які заодно дозволять одержати і зберегти відомості про клієнта |
Єдиний доступ до декількох комерційних Web-додатків |
Аутентифікація за допомогою служби Passport |
Для аутентифікації за допомогою служби Passport користувачеві досить один раз зареєструватися в центрі видачі паспортів. Після цього ідентифікаційні дані користувача стають доступними будь-якому додатку, що використовує Passport SDK. Відомості про клієнта зберігаються в профілі служби Passport, а не в локальній базі даних |