Belirtiler
Bir web grubunda dağıtmış Microsoft ASP.NET web sitelerine hizmet veren sunuculara MS10-070 güvenlik güncelleştirmesini uyguladığınızda, web grubundaki bazı sunucular ve uygulamalarda aşağıdaki belirtilerden biri veya birden çoğuyla karşılaşılabilir:
-
Verilerin şifresinin çözülememesi
-
WebResource veya ScriptResource işleyicilerinde özel durumlar
-
Form Kimlik Doğrulaması kullanılırken kimlik doğrulama hataları
-
"Geçersiz Viewstate" özel durumları
-
Form Kimlik Doğrulaması tanımlama bilgisindeki gibi verilerin şifresi çözülmeye çalışılırken "Veriler doğrulanamadı" özel durumları
Hata, ASP.NET uygulamasına erişim sırasında bir uygulama özel durumu şeklinde kendini gösterebilir ve aşağıdakilere benzer bilgiler de Uygulama günlüğüne kaydedilebilir.
İleti 1:
System.Web.HttpException : Veriler doğrulanamadı. System.Web.Configuration.MachineKeySection.EncryptOrDecryptData(Boolean fEncrypt, Byte[] buf, Byte[] modifier, Int32 start, Int32 length, IVType ivType, Boolean useValidationSymAlgo, Boolean signData)
İleti 2:
Olay Türü: Uyarı
Olay Kaynağı: ASP.NET 2.0.50727.0
Olay Kategorisi: Web Olayı
Olay Kimliği: 1309
Tarih: Tarih
Saat: Saat
Kullanıcı: Yok
Açıklama:
Olay kodu: 3005
Olay iletisi: İşlenmeyen bir özel durum oluştu.
Özel durum bilgisi:
Özel durum türü: HttpException
Özel durum iletisi: Veriler doğrulanamadı.
Neden
MS10-070 bülteninde belirtilen güvenlik güncelleştirmesi ASP.NET'te varsayılan şifreleme davranışını değiştirir. Güvenlik güncelleştirmesi yüklendikten sonra yeni varsayılan davranış, yalnızca şifreleme istenmiş olsa bile şifrelemenin yanı sıra doğrulama da gerçekleştirmektir. Bu varsayılan davranış bu güncelleştirmenin uygulandığı sunucularda şifrelenmiş iş yükünü değiştirir. İş yükü görüntüleme durumu ve form kimlik doğrulaması tanımlama bilgilerini içerebilir. Güvenlik güncelleştirmesi web grubundaki sunuculardan yalnızca bir bölümüne uygulandıysa, web grubundaki farklı sunucular arasında aynı iş yükünü şifreleme ve şifresini çözme yöntemlerinde farklılık görülür ve bu davranış farklılığı özel durumlara neden olur. Güvenlik güncelleştirmesinin uygulanmasından önce sistemlerde kalıcı olan form kimlik doğrulaması tanımlama bilgileri güvenlik güncelleştirmesi uygulandıktan sonra kullanıldığında da bu davranış ortaya çıkabilir.
Ayrıca, Microsoft .NET Framework 2.0'ın farklı hizmet paketi sürümlerinde şifreleme ve şifre çözme yöntemleri birbirinden farklıdır. Bu nedenle, güvenlik güncelleştirmesinin yüklendiği bir web grubu ortamında .NET Framework'ün farklı hizmet paketi düzeylerinin bulunması, farklı şifrelenmiş iş yüklerine ve benzer bir şifre çözme hatasına neden olur.
Çözüm
ASP.NET içeriğine hizmet veren tüm sunucularda aşağıdaki koşulların doğru olduğundan emin olun:
-
Web grubundaki bir ASP.NET web sitesine hizmet veren tüm sunucular güvenlik güncelleştirmesini yüklemelidir. Bazı sunuculara güvenlik güncelleştirmesi yüklenmemişse, bu sunuculara güncelleştirmeyi uygulayın.
-
Tüm sistemlere MS10-070 uygulandıysa, web grubunda .NET Framework 2.0'ın herhangi bir sürümünü çalıştıran tüm bilgisayarlar aynı hizmet paketi düzeyinde olmalıdır. Sunuculardaki hizmet paketi düzeyleri farklıysa, tüm sunucuları en son hizmet paketine güncelleştirmeli ve ardından tüm güvenlik güncelleştirmelerini yeniden uygulamalısınız. Bu nedenle, web grubundaki bazı sunucular .NET Framework 2.0 SP1'i ve diğer sunucular da .NET Framework 2.0 SP2'yi çalıştırıyorsa, web grubundaki sunucuların tümüne güvenlik güncelleştirmesini uygulamadan önce, tüm .NET Framework 2.0 SP1 sunucuları .NET Framework 2.0 SP2'ye yükseltilmelidir.
-
Uygulamaların, güncelleştirme uygulanmadan önce oluşturulmuş olan şifrelenmiş verileri (örneğin Form Kimlik Doğrulaması tanımlama bilgileri) kullanmadığından emin olun. Daha önce şifrelenmiş olan veriler, güvenlik güncelleştirmesi uygulandıktan sonra yenilenmelidir.
Sunucularınızda güvenlik güncelleştirmesi yüklemesine yönelik olarak .NET Framework sürümlerini algılama hakkında daha fazla bilgi için, “Başvurular” bölümüne bakın.
Referanslar
ASP.NET görünüm durumu hakkında daha fazla bilgi için lütfen şu makaleye bakın:
ASP.NET Görünüm Durumuna Genel BakışASP.NET Form Kimlik Doğrulaması hakkında daha fazla bilgi için lütfen şu makaleye bakın:
ASP.NET Form Kimlik Doğrulamasına Genel BakışASP.NET Form Kimlik Doğrulaması anahtarları ve tanımlama bilgileri hakkında daha fazla bilgi için, Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere şu makale numarasını tıklatın:
910443 Form Kimlik Doğrulaması Anahtarı ve Tanımlama Bilgisini Anlama ASP.NET Web Kaynağı işleyicisi hakkında daha fazla bilgi için, Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere şu makale numarasını tıklatın:
910442 ASP.NET 2.0'da Web Kaynaklarıyla Çalışma
