Como planear segurança SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition para dispositivos móveis no IIS e SQL Server 2000 Windows CE Edition

Este manual ajuda-o em desenvolver um plano de segurança do Microsoft Internet Information Server (IIS) e Microsoft SQL Server para dispositivos móveis. Como iniciar aplicações móveis aumentar o número, um plano sólido pode ajudar a evitar alguns as armadilhas na segurança. O artigo examina vários métodos de autenticação para o IIS e SQL Server. Uma vez que o SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition liga ao SQL Server através do IIS, este artigo descreve ambos os ambientes de segurança para aplicações móveis do SQL Server.

Para uma descrição mais detalhada de segurança do SQL Server CE e do IIS, consulte a documentação técnica seguinte por Carlos j. Boske da Microsoft:

Escolher um método de autenticação do IIS

O IIS suporta três métodos de autenticação diferente:

• Anónimo
• Básico
• Integrada

Microsoft Windows CE 2. x não suporta o método de autenticação integrada ao Microsoft Windows CE 3. x suporta todos os métodos.

Segue-se uma descrição de cada método.

Anónimo

Este tipo de autenticação é tal como o nome implica. O utilizador é anónimo e tem acesso a todos os recursos do IIS anonimamente. Microsoft não recomenda esta forma de autenticação para o SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition porque não é segura.

Básico

Quando ligar a um servidor que requer autenticação básica, o SQL Server pede-lhe uma caixa de diálogo início de sessão . Pode iniciar sessão e obter acesso a quaisquer recursos atribuídos para o início de sessão. No entanto, com a autenticação básica, o nome de utilizador e palavra-passe são transmitidos através da rede em codificação Base64, que é fácil de ler. Uma vez que a autenticação básica é o método só está disponível "autenticação codificado" no Windows CE 2. x dispositivos, pode utilizar (Secure Sockets Layer) para encriptar o nome de utilizador e palavra-passe.

Integrada

Integrado, ou o Windows, autenticação requer a presença de uma conta de utilizador de domínio. Uma vez que deve ter uma conta de utilizador de domínio, só pode utilizar a autenticação integrada numa intranet. Além disso, apenas o Windows CE 3. x suporta este método de autenticação. O Windows utiliza um algoritmo hash para encriptar o nome de utilizador e palavra-passe através da ligação.

Métodos de autenticação do SQL Server

SQL Server consiste em dois tipos de autenticação:

• Modo misto
• Autenticação do Windows

Modo misto permite aos utilizadores ligar utilizando o SQL Server autenticação do Windows ou do. Autenticação Windows utiliza uma conta de domínio para aceder ao SQL Server.

Modo misto

Se a conta estiver configurada para um início de sessão do SQL Server, forneça um início de sessão e palavra-passe que é independente do início de sessão do Windows. Microsoft não considera este método um início de sessão seguro. Uma das razões que este método não é seguro é porque não existe nenhum imposição do comprimento da palavra-passe. Este método também é conhecido como autenticação padrão.

Autenticação do Windows

Quando utiliza a autenticação do Windows, SQL Server mapeia o Windows iniciar sessão uma conta de utilizador e de início de sessão no SQL Server. Windows novamente utiliza um algoritmo hash para passar o nome de utilizador e palavra-passe para o servidor.

Reunir tudo

SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition liga ao SQL Server remota através do IIS utilizando a replicação ou de acesso remoto de dados (RDA). SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition implementa ActiveX objectos para passar o início de sessão adequado e a palavra-passe. Os vários cenários de segurança que se seguem descrevem as utilizações de cada modelo de segurança.

Anónimo SQL Server IIS e o modo padrão

Só deve utilizar este método para fins de teste. Este modo não seguro e baseia-se apenas no início de sessão do SQL Server para a segurança.

Anónimo SQL Server IIS e o modo do Windows

Neste cenário, tem de definir até uma conta de utilizador e de início de sessão no SQL Server para a conta de utilizador anónimo do IIS (normalmente IUSR_Machinename). Em seguida, pode conceder permissões para este utilizador aceder a base de dados apropriado.

Básico SQL Server IIS e o modo padrão

Porque a autenticação básica transmite um nome de utilizador e palavra-passe, tem de ser-se de que o SSL está instalado. Também necessita de um início de sessão válido no SQL Server. Pode transferir estas informações através de replicação do SQL Server CE, SQL Server 2005 Compact Edition ou SQL Server 2005 Mobile Edition ou RDA objectos para estabelecer ligação com o SQL Server remota.

Básico SQL Server IIS e o modo do Windows

Se o programa de configuração como um utilizador no SQL Server, pode aceder a SQL Server. SQL Server verifica o nome de utilizador com a lista de utilizador, verifica a palavra-passe e, em seguida, inicia.

Nota Autenticação básica envia palavras-passe através da rede codificada em Base64. Se pretende encriptar as credenciais do utilizador, pode activar o SSL para autenticação básica. O nome de utilizador e palavra-passe são transmitidas depois de eles são encriptados pelo cliente suporte de SSL.

Integrado SQL Server IIS e o modo padrão

Por vezes, um administrador pode apenas pretende administrar IIS de um servidor, mas também podem ter outras bases de dados do SQL Server. Utilizando a autenticação integrada no servidor de IIS, o administrador pode proteger o SQL Server base de dados em separado a partir do servidor de IIS.

Integrado SQL Server IIS e o modo do Windows

Este método é mais seguro devido à sua utilização do Windows autenticação durante o processo de ligação. É necessário Lembre-se, no entanto, que este cenário só funciona numa intranet.