Asegurar archivos descargables en el sitio web por usuario

Navega tus respuestas
1

Tengo un sitio web ASP.NET que sirve documentos PDF privados. Los archivos PDF se almacenan sin cifrar en un recurso compartido en la red interna. El usuario inicia sesión y navega a la página de descarga. El servidor web valida que el usuario tiene acceso al archivo, lo carga desde el recurso compartido y lo transmite en la respuesta.

¿Es esta la forma "correcta", una forma segura de entregar estos documentos? Por ejemplo, si los archivos PDF se almacenaron en un directorio en el sitio web en sí, sería un riesgo de seguridad de poco tiempo. Como mencioné, no están en el directorio del sitio web. Pero, ¿qué otra cosa debería tener en cuenta con esta configuración para mantener estos documentos seguros?

    
pregunta John 10.05.2013 - 17:28
fuente

1 respuesta

1

Debe tener en cuenta (al menos) lo siguiente:

  • Si sus documentos están en una carpeta de acceso público, no son privados. Esto incluye protecciones simples, como verificar el referente, que son triviales para juke
  • Si sus documentos están en una carpeta sobre la raíz HTTP, es un paso mejor; si están cifrados y solo un script puede leerlos, incluso mejor.
  • Si tiene un include vuln en su sitio, espere que la gente pueda leerlos
  • Espere que las personas los lean y planifiquen en consecuencia, cree una auditoría para que sepa quién ha leído cosas y, lo que es más importante, cuándo .

Hay muchas maneras de hacerlo. Una pregunta de la pila ( enlace ) tiene algunos buenos métodos: 3 y 4 son particularmente buenos, especialmente si tiene la posibilidad de almacene sus archivos en S3 (y aproveche las credenciales de token de AWS).

    
respondido por el Sébastien Renauld 10.05.2013 - 17:35
fuente

Lea otras preguntas en las etiquetas

¿Aislando la base de datos? ¿Es posible? Configure Wireshark para capturar datos preformateados de un pseudo-dispositivo