Suvestinė
Saugos naujinimas, aprašytas "Microsoft" saugos biuletenis MS10-070 pakeičia numatytąjį šifravimo mechanizmas, ASP.NET atlikti tikrinimo (prisijungimas) be šifravimo. Šiame straipsnyje aprašoma variantų grįžti prie senstelėjusių elgesį šifravimui, ASP.NET.For daugiau informacijos apie šį saugos naujinimą, apsilankykite šioje svetainėje:
http://www.microsoft.com/technet/security/bulletin/ms10-070.mspx
Daugiau informacijos
ASP.NET leidžia vartotojams pasirinktinai užšifruoti arba per konfigūracijos skyriuje MachineKey duomenų tikrinimas. Saugos naujinimas, skirtas saugos naujinimą MS10-070 pakeitimai numatytuosius parametrus šifravimo ASP.net atlikti tikrinimo be šifravimo, net jei prašoma tik šifravimo. Įdiegus saugos naujinimą, aprašytą saugos biuletenyje MS10-070, šie veiksmai atliekami sudarant šifravimą, ASP.NET:
-
Duomenų šifravimas, yra HMAC parašas generuojamas duomenų šifravimas ir pridedamas prie jo.
-
Per duomenų iššifravimas, HMAC parašas yra patikrintas prieš duomenys yra iššifruoti.
Šių raktų ASP.NET programos parametrai (appSettings) valdymo veikimo pasirašymo be šifravimo.
|
Raktas |
Tipas |
Numatytoji reikšmė |
Palaikomos.net versijas |
|---|---|---|---|
|
aspnet:UseLegacyEncryption |
Boolean |
Klaidingai |
Microsoft .NET Framework 2.0 pakeitimų paketo 1Microsoft .NET Framework 2.0 pakeitimų paketo 2Microsoft .NET Framework 3.5Microsoft .NET Framework 3.5 pakeitimų paketas 1Microsoft .NET Framework 4.0 |
|
aspnet:UseLegacyMachineKeyEncryption |
Boolean |
Klaidingai |
Microsoft .NET Framework 4.0 |
|
aspnet:ScriptResourceAllowNonJsFiles |
Boolean |
Klaidingai |
Microsoft .NET Framework 3.5 pakeitimų paketas 1Microsoft .NET Framework 4.0 |
Aspnet:UseLegacyEncryption appSetting Aprašymas
Ši programa parametras nurodo, ar šifravimo bus papildomai atlikti tikrinimo HMAC raktu net tada, kai tikrinimo skyrių machineKey skyriuje ASP.NET konfigūracijos nesukonfigūruotas HMAC parašo tikrinimo.
|
aspnet:UseLegacyEncryption |
Aprašymas |
|---|---|
|
Klaidinga (numatytoji) |
Šis parametras sukonfigūruoja ASP.NET papildomai atlikti HMAC parašo tikrinimo, kai ASP.NET yra sukonfigūruojama naudoti šifravimą. Tai įvyks, net jei machineKey tikrinimo nėra sukonfigūruotas prisijungti naudodami HMAC raktą. |
|
Teisinga |
Šis parametras sukonfigūruoja ASP.NET negali atlikti HMAC parašo tikrinimo, kai kompiuteris sukonfigūruotas naudoti šifravimo ir ne HMAC pasirašymo per tikrinimo machineKey. Pastaba. Šis parametras gali būti kenkėjiškas kliento iššifruoti, sukurti arba kitaip suklastoti duomenų šifravimas. |
Norėdami sukonfigūruoti šį parametrą, jūsų kompiuterio ar programos web.config failą įtraukite nurodytą konfigūraciją:
<configuration>... <appSettings> ... <add key="aspnet:UseLegacyEncryption" value="false" /> </appSettings></configuration>
Aspnet:UseLegacyMachineKeyEncryption appSetting Aprašymas
Ši programa parametras nurodo, ar šifravimo naudojant System.Web.Security.MachineKey klasės be to atliks tikrinimo HMAC raktu net tada, jei MachineKeyProtection argumentas nenurodo atlikti patvirtinimo.
|
aspnet:UseLegacyMachineKeyEncryption |
Aprašymas |
|---|---|
|
Klaidinga (numatytoji) |
Šis parametras sukonfigūruoja ASP.NET be to atlikti HMAC parašo tikrinimo per MachineKey klasės, kai ASP.NET yra sukonfigūruojama naudoti šifravimą. Tai įvyks, net jei nurodytus MachineKeyProtection argumentas nenurodo atlikti patvirtinimo. |
|
Teisinga |
Šis parametras sukonfigūruoja ASP.NET nevykdyti HMAC parašo tikrinimo per MachineKey klasės kai kompiuteris sukonfigūruotas naudoti šifravimo ir ne HMAC pasirašymo per nurodytus MachineKeyProtection argumentas. Pastaba. Šis parametras gali būti kenkėjiškas kliento iššifruoti, sukurti arba kitaip suklastoti duomenų šifravimas. |
Norėdami sukonfigūruoti šį parametrą, jūsų kompiuterio ar programos web.config failą įtraukite nurodytą konfigūraciją:
<configuration>... <appSettings> ... <add key="aspnet:UseLegacyMachineKeyEncryption" value="false" /> </appSettings></configuration>
Aspnet:ScriptResourceAllowNonJsFiles appSetting Aprašymas
Ši programa parametras nurodo, ar ScriptResource.axd apdorojimo programa, ASP.NET bus naudojamas ne JavaScript failus (.js plėtinį). ScriptResource.axd yra ASP.NET apdorojimo programa, pateikia AJAX komponentų – ASP.NET tinklalapio JavaScript kodo failus.
|
aspnet:ScriptResourceAllowNonJsFiles |
Aprašymas |
|---|---|
|
Klaidinga (numatytoji) |
Šis parametras sukonfigūruoja ASP.NET tik būti statinis failai, turintys .js plėtinį (JavaScript) per ScriptResource.axd apdorojimo programa. |
|
Teisinga |
Šis parametras sukonfigūruoja ASP.NET aptarnauti bet statine failo, ASP.NET programos turi prieigą prie per ScriptResource.axd apdorojimo programa. Pastaba. Šis parametras leidžia bet kokį failą per ASP.NET taikymas per apdorojimo programą. Jei visi tokie failai yra svarbi arba konfidenciali informacija, tada šis parametras gali būti nutekėjimo slaptos informacijos klientui. |
Norėdami sukonfigūruoti šį parametrą, jūsų kompiuterio ar programos web.config failą įtraukite nurodytą konfigūraciją:
<configuration>... <appSettings> ... <add key="aspnet:ScriptResourceAllowNonJsFiles" value="false" /> </appSettings></configuration>
Nuorodos
Daugiau informacijos apie skyrių MachineKey, apsilankykite šioje "Microsoft" svetainėje:
http://msdn.microsoft.com/en-us/library/w8h3skw9.aspxJei norite gauti daugiau informacijos apie System.Web.Security.MachineKey klasę, apsilankykite šioje "Microsoft" svetainėje:
http://msdn.microsoft.com/en-us/library/system.web.security.machinekey.aspxJei norite gauti daugiau informacijos apie tai, kaip naudoti programos parametrai (appSettings), spustelėkite šiuos straipsnių numerius ir peržiūrėkite straipsnius Microsoft žinių bazėje:
815786 kaip išsaugoti ir gauti vartotojo informaciją iš taikomosios programos konfigūracijos failas naudojant Visual C# 313405 kaip išsaugoti ir gauti vartotojo informaciją iš taikomosios programos konfigūracijos failas naudojant Visual Basic .NET "arba" Visual Basic 2005Jei norite gauti daugiau informacijos apie ASP.Net konfigūracijos, spustelėkite toliau straipsnio numerį ir peržiūrėkite straipsnį Microsoft žinių bazėje:
307626 INFO: ASP.NET konfigūracijos apžvalga
