Nos gustaría instalar una aplicación web escrita en C # / .NET4 en los servidores cliente, no en el nuestro. Me gustaría saber cuáles son las mejores prácticas de seguridad para implementar y evitar lo siguiente:
Escuché a alguien hablar de cifrar el archivo Web.Config con RSA, y así sucesivamente.
Gracias de antemano!
Esto suena, solo estás pidiendo problemas.
1) Robo de autoridad: ¿Qué quiere decir exactamente con esto? Si escribe su aplicación web de la manera correcta, solo podrá hacer las cosas que su cliente le permita, averigüe qué tipo de configuración está utilizando.
2) Lea archivos con datos confidenciales: le sugiero que no intente hacer esto. Su aplicación web no debe estar en una computadora con datos confidenciales si es accesible a internet.
3) Ajuste de software: ¿qué decir?
4) Cualquier problema de seguridad: esto no es posible. Teniendo en cuenta que incluso está preguntando cómo evitar esto, significa que tendrá problemas de seguridad, incluso Microsoft tiene problemas de seguridad.
Cifrar la Web.Config solo protege el contenido dentro de ella, si no hay nada sensible en ella, realmente no sirve para cifrarla.
Parece que estás muy por encima de tu cabeza.
Jaja, es .NET, simplemente descompilaré todo (incluso si lo ofuscas, no es tan malo).
Tira tu binario a través de eso y llora.
¿Mejor práctica? No lo escriba en .net (¡y yo soy un C # dev!), Cualquier cosa que haga será fácilmente mitigada con ilspy, reflexión y uso de su propio código para descifrar todo lo que haya cifrado.
Lo mejor que puedes hacer es escribirlo en C ++ / CLR si quieres la plataforma .NET.
Creo que esas son preocupaciones válidas, sin embargo, debe considerar esos puntos antes de la programación. Recomiendo estos enlaces, algunos son antiguos pero todavía se aplican algunos principios básicos
Prácticas básicas de seguridad para aplicaciones web (.Net 4.0)
Mejores prácticas de seguridad de ASP.NET
Cómo: Instalar aplicaciones ASP.NET para la seguridad (.Net 2.0 )
Mejora de la seguridad de las aplicaciones web: amenazas y contramedidas (.Net 2.0)
Lea otras preguntas en las etiquetas .net