Comment faire pour configurer le mode de chiffrement hérité dans ASP.NET

Résumé

La mise à jour de sécurité décrite dans le bulletin de sécurité Microsoft que MS10-070 modifie le mécanisme de cryptage par défaut dans ASP.NET pour effectuer la validation (signature) en plus du cryptage. Cet article décrit les options de configuration pour rétablir le comportement hérité pour le cryptage de ASP.NET.For plus d’informations sur cette mise à jour de sécurité, visitez le site Web suivant :

http://www.microsoft.com/technet/security/bulletin/ms10-070.mspx

Informations supplémentaires

ASP.NET permet aux utilisateurs de crypter ou de valider des données par le biais de configuration dans la section MachineKey éventuellement. La mise à jour de sécurité qui est traitée par la sécurité mise à jour MS10-070 modifications du comportement par défaut du chiffrement dans ASP.NET pour effectuer la validation en plus du cryptage même si uniquement le cryptage est demandé. Après avoir installé la mise à jour de sécurité décrite dans le bulletin de sécurité MS10-070, les opérations suivantes sont exécutées lorsque le cryptage est configuré pour ASP.NET :

  • Pendant le cryptage des données, une signature HMAC est générée pour les données cryptées et est ajouté à la fin.

  • Pendant le décryptage de données, la signature de code HMAC est validée avant que les données sont décryptées.

Les clés suivantes dans ASP.NET application (appSettings) de paramètres contrôle le comportement de la signature en outre au cryptage.

Clé

Type

Valeur par défaut

Versions prises en charge on.NET

aspnet:UseLegacyEncryption

Valeur booléenne

False

Microsoft.NET Framework 2.0 Service Pack 1licence.NET Framework 2.0 Service Pack 2Microsoft.NET Framework 3.5Microsoft de.NET Framework 3.5 Service Pack 1licence.NET Framework 4.0

aspnet:UseLegacyMachineKeyEncryption

Valeur booléenne

False

Microsoft .NET Framework 4.0

aspnet:ScriptResourceAllowNonJsFiles

Valeur booléenne

False

Microsoft.NET Framework 3.5 Service Pack 1licence.NET Framework 4.0

Description de l’aspnet:UseLegacyEncryption appSetting

Ce paramètre d’application indique si le cryptage est en outre effectuer validation avec une clé HMAC même lorsque la section de validation dans la section machineKey de configuration d’ASP.NET n’est pas configurée pour la validation de la signature du code HMAC.

aspnet:UseLegacyEncryption

Description

Faux (par défaut)

Ce paramètre configure ASP.NET pour plus effectuer la validation de la signature du code HMAC lorsque ASP.NET est configuré pour utiliser le chiffrement. Cela se produit même si la validation de machineKey n’est pas configurée pour se connecter à l’aide d’une clé HMAC.

True

Ce paramètre configure ASP.NET ne pas à effectuer la validation de la signature du code HMAC lorsqu’il est configuré pour utiliser le cryptage et pas le HMAC signature par le biais de la validation dans machineKey. Remarque Ce paramètre peut permettre à un client malveillant à décrypter, falsifier ou sinon, falsification de données chiffrées.

Pour configurer ce paramètre, ajoutez la configuration suivante dans votre fichier web.config ordinateur ou une application :

<configuration>... <appSettings> ... <add key="aspnet:UseLegacyEncryption" value="false" /> </appSettings></configuration> 

Description d’aspnet:UseLegacyMachineKeyEncryption appSetting

Ce paramètre d’application spécifie si le cryptage via la classe System.Web.Security.MachineKey en outre effectuera validation avec une clé HMAC même lorsque l’argument MachineKeyProtection fourni ne spécifie pas que validation effectuée.

aspnet:UseLegacyMachineKeyEncryption

Description

Faux (par défaut)

Ce paramètre configure ASP.NET pour plus effectuer la validation de la signature du code HMAC via la classe MachineKey lorsque ASP.NET est configuré pour utiliser le cryptage. Cela se produit même si l’argument MachineKeyProtection fourni ne spécifie pas que la validation est effectuée.

True

Ce paramètre configure ASP.NET ne pas à effectuer la validation de la signature du code HMAC via la classe MachineKey lorsqu’il est configuré pour utiliser le cryptage et pas le HMAC signature par le biais de l’argument fourni de MachineKeyProtection . Remarque Ce paramètre peut permettre à un client malveillant à décrypter, falsifier ou sinon, falsification de données chiffrées.

Pour configurer ce paramètre, ajoutez la configuration suivante dans votre fichier web.config ordinateur ou une application :

<configuration>... <appSettings> ... <add key="aspnet:UseLegacyMachineKeyEncryption" value="false" /> </appSettings></configuration> 

Description d’aspnet:ScriptResourceAllowNonJsFiles appSetting

Ce paramètre d’application indique si le gestionnaire ScriptResource.axd dans ASP.NET servira les fichiers non-JavaScript (extension .js). ScriptResource.axd est un gestionnaire ASP.NET qui renvoie les fichiers source JavaScript pour les composants dans une page Web d’ASP.NET AJAX.

aspnet:ScriptResourceAllowNonJsFiles

Description

Faux (par défaut)

Ce paramètre configure ASP.NET pour prendre en charge uniquement les fichiers statiques qui ont l’extension .js (JavaScript) via le gestionnaire ScriptResource.axd.

True

Ce paramètre configure ASP.NET pour prendre en charge n’importe quel fichier statique que l’application ASP.NET peut accéder à via le gestionnaire ScriptResource.axd. Remarque  Ce paramètre permet à n’importe quel fichier dans votre application ASP.NET à être pris en charge par le gestionnaire. Si un tel fichier contient des données sensibles ou confidentielles, ce paramètre peut potentiellement pour une fuite d’informations sensibles à un client.

Pour configurer ce paramètre, ajoutez la configuration suivante dans votre fichier web.config ordinateur ou une application :

<configuration>... <appSettings> ... <add key="aspnet:ScriptResourceAllowNonJsFiles" value="false" /> </appSettings></configuration> 

Références

Pour plus d’informations sur la section MachineKey, visitez le site Web Microsoft suivant :

http://msdn.microsoft.com/en-us/library/w8h3skw9.aspxPour plus d’informations sur la classe System.Web.Security.MachineKey , visitez le site Web Microsoft suivant :

http://msdn.microsoft.com/en-us/library/system.web.security.machinekey.aspxPour plus d’informations sur l’utilisation de paramètres d’application (appSettings), cliquez sur les numéros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :

815786 comment stocker et récupérer des informations personnalisées à partir d’un fichier de configuration d’application à l’aide de Visual C# 313405 comment stocker et extraire des informations personnalisées à partir d’un fichier de configuration d’application à l’aide de Visual Basic .NET ou Visual Basic 2005Pour plus d’informations sur la configuration ASP.Net, cliquez sur le numéro ci-dessous pour afficher l’article correspondant dans la Base de connaissances Microsoft :

307626 Infos : vue d’ensemble de la Configuration ASP.NET

Besoin d’aide ?

Développez vos compétences
Découvrez des formations
Accédez aux nouvelles fonctionnalités en avant-première
Rejoindre Microsoft Insider

Ces informations vous ont-elles été utiles ?

Nous vous remercions pour vos commentaires.

Merci pour vos commentaires. Il serait vraisemblablement utile pour vous de contacter l’un de nos agents du support Office.

×