12 Mart 2012 Pazartesi

Asp.Net Web Servislerinde Güvenlik

Web servisleri parametrik yapıları, ajax teknolojisi ile iç içe olması ve model tiplerimizi javascript’e aktarabilmesi ile web projelerinin vazgeçilmez unsurlarıdır.
Bir önceki yazımızda bahsettiğimiz Pagemethod’ların birçok dezavantajına karşılık web servisleri her zaman paramatrik yapısı ve birçok özelliği ile tercih edilebilir durumdadır. Fakat bu noktada güvenlik gibi bir unsura değinmeden edemeyeceğiz çünkü yazımızın konusu :)
Web servislerinde güvenliği sağlamak için aşağıdaki güvenlik önlemlerini geliştireceğimiz sisteme göre tercih edebiliriz.
1- Adding Service Token To Header
2- Session Control
3- Ssl certification
4- Form Authentication
Yukarıdaki güvenlik önlemlerinden önce web.config içerisinden projelerimizde kullandığımız webservisleri için genel ayaları yönetebiliriz. Aşağıdaki yorum satırı haline getirilen satırlarda ilgili değişiklikleri yaparak servislerin davranışlarını projemize göre özelleştirebiliriz.
Düz metinPanoya kopyalaYazdır
  1. <system.web.extensions>  
  2.         <scripting>  
  3.           <webservices>  
  4.   
  5.             <!-- Uncomment this line to customize maxJsonLength and add a custom converter -->  
  6.             <!--  
  7.           <jsonSerialization maxJsonLength="500">  
  8.             <converters>  
  9.               <add name="ConvertMe" type="Acme.SubAcme.ConvertMeTypeConverter"/>  
  10.             </converters>  
  11.           </jsonSerialization>  
  12.           -->  
  13.             <!-- Uncomment this line to enable the authentication service. Include requireSSL="true" if appropriate. -->  
  14.             <!--  
  15.             <authenticationService enabled="true" requireSSL = "true|false"/>  
  16.           -->  
  17.             <!-- Uncomment these lines to enable the profile service. To allow profile properties to be retrieved  
  18.                and modified in ASP.NET AJAX applications, you need to add each property name to the readAccessProperties and  
  19.                writeAccessProperties attributes. -->  
  20.             <!--  
  21. <profileService enabled="true"  
  22.                           readAccessProperties="propertyname1,propertyname2"  
  23.                           writeAccessProperties="propertyname1,propertyname2" />  
  24.           -->  
  25.           </webservices>  
  26.           <scriptresourcehandler enablecompression="true" enablecaching="true">  
  27.         </scriptresourcehandler></scripting>  
  28.       </system.web.extensions>  

Adding Service Token To Header

Servislerimizi referans olarak çağırdığımız sayfarımızda dinamik olarak Service Token üreterek bu token’ı webrequestlerimizin header collection’ına eklememiz gerekmektedir. Servisimizi çağırdığımız sayfamızın aspx ve cs bölümlerini aşağıdaki oluşturuyoruz. Cs tarafında SERVICE_TOKEN Nesnemizi oluşturup sayfamıza ekliyoruz. Bu Token’ı Cache nesnesine ekleyerek servis tarafında bu nesnenin değerini kontrol ediyoruz. Ayrıca nesneyi request’lerimize header olarak eklememiz gerekiyor. Böylece web servisinin çağrıldığı sayfa ile asenkron olmasını sağlıyoruz. Herhangi bir adresten yapılan requestler dikkate alınmayacaktır. Servis tarafında üretilen exception’ı göreceklerdir.
Default.aspx
Düz metinPanoya kopyalaYazdır
  1. <%@ Page Language="C#" AutoEventWireup="true" CodeBehind="Default.aspx.cs" Inherits="WebServiceSecurity._Default" %>  
  2.     <script type="text/javascript">  
  3.         function pageLoad(sender, args) {  
  4.             Sys.Net.WebRequestManager.add_invokingRequest(onInvoke);  
  5.         }  
  6.   
  7.         function pageUnload(sender, args) {  
  8.             Sys.Net.WebRequestManager.remove_invokingRequest(onInvoke);  
  9.         }  
  10.   
  11.         function onInvoke(sender, args) {  
  12.             args.get_webRequest().get_headers()['serviceToken'] = SERVICE_TOKEN;  
  13.         }  
  14.   
  15.         function GetMessageSecurely() {  
  16.             WebServiceSecurity.MessageService.SecureMessage(OnSuccess, OnFail);  
  17.         }  
  18.         function OnSuccess(result) {  
  19.             alert(result);  
  20.         }  
  21.         function OnFail(error) {  
  22.             error.get_message();  
  23.         }  
  24.     </script>  
  25.   
  26.   
  27. <form id="form1" runat="server">  
  28.     <asp:scriptmanager id="ScriptManager1" ene="" runat="server">  
  29.         <services>  
  30.             <asp:servicereference path="~/MessageService.asmx">  
  31.         </asp:servicereference></services>  
  32.     </asp:scriptmanager>  
  33. <div>  
  34.         <asp:button id="btnTestService" runat="server" text="Test Service" onclientclick="javascript:GetMessageSecurely();">  
  35.     </asp:button></div>  
  36. </form>  
Default.aspx.cs
Düz metinPanoya kopyalaYazdır
  1. using System;  
  2. using System.Collections.Generic;  
  3. using System.Linq;  
  4. using System.Web;  
  5. using System.Web.UI;  
  6. using System.Web.UI.WebControls;  
  7.   
  8. namespace WebServiceSecurity  
  9. {  
  10.     public partial class _Default : System.Web.UI.Page  
  11.     {  
  12.         protected void Page_Load(object sender, EventArgs e)  
  13.         {  
  14.             GenerateSecurityTicket();  
  15.         }  
  16.         private void GenerateSecurityTicket()  
  17.         {  
  18.             string cacheKey = User.Identity.Name + ":serviceToken";  
  19.             string securityTicket = Guid.NewGuid().ToString();  
  20.             Cache[cacheKey] = securityTicket;  
  21.             string script = string.Format("SERVICE_TOKEN = '{0}';", securityTicket);  
  22.             ScriptManager.RegisterClientScriptBlock(this, this.GetType(), "serviceToken", script, true);  
  23.         }  
  24.     }  
  25. }  
MessageService.asmx.cs
Düz metinPanoya kopyalaYazdır
  1. using System;  
  2. using System.Collections.Generic;  
  3. using System.Linq;  
  4. using System.Web;  
  5. using System.Web.Services;  
  6. using System.Security;  
  7. using System.Web.Script.Services;  
  8.   
  9. namespace WebServiceSecurity  
  10. {  
  11.     ///  
  12. <summary>  
  13.     /// Summary description for MessageService  
  14.     /// </summary>  
  15.   
  16.     [WebService(Namespace = "http://tempuri.org/")]  
  17.     [WebServiceBinding(ConformsTo = WsiProfiles.BasicProfile1_1)]  
  18.     [System.ComponentModel.ToolboxItem(false)]  
  19.     //To allow this Web Service to be called from script, using ASP.NET AJAX, uncomment the following line.  
  20.      [ScriptService]  
  21.     public class MessageService : System.Web.Services.WebService  
  22.     {  
  23.   
  24.         [WebMethod]  
  25.         public string SecureMessage()  
  26.         {  
  27.             EnsureTicket();  
  28.             return "Valid Request for " + HttpContext.Current.User.Identity.Name;  
  29.         }  
  30.         private void EnsureTicket()  
  31.         {  
  32.             HttpContext context = HttpContext.Current;  
  33.             string secid = context.Request.Headers["serviceToken"];  
  34.             if (string.IsNullOrEmpty(secid))  
  35.             {  
  36.                 throw new SecurityException("Can Not Find Service Token");  
  37.             }  
  38.             string cacheKey = context.User.Identity.Name + ":serviceToken";  
  39.             string cacheTicket = (string)context.Cache[cacheKey];  
  40.             if (string.Compare(secid, cacheTicket, false) != 0)  
  41.             {  
  42.                 throw new SecurityException("Wrong Service Token");  
  43.             }  
  44.         }  
  45.     }  
  46. }  
Geçersiz sayfalardan requestların sonucunu test etmek için aşağıdaki sayfayı ekledim.
TestRequest.aspx
Düz metinPanoya kopyalaYazdır
  1. <%@ Page Language="C#" AutoEventWireup="true" CodeBehind="TestRequest.aspx.cs" Inherits="WebServiceSecurity.TestRequest" %>  
  2.     <script type="text/javascript">  
  3.         function pageLoad(sender, args) {  
  4.             Sys.Net.WebRequestManager.add_invokingRequest(onInvoke);  
  5.         }  
  6.   
  7.         function pageUnload(sender, args) {  
  8.             Sys.Net.WebRequestManager.remove_invokingRequest(onInvoke);  
  9.         }  
  10.   
  11.         function onInvoke(sender, args) {  
  12.             args.get_webRequest().get_headers()['serviceToken'] = "wrong token";  //SERVICE_TOKEN;  
  13.         }  
  14.   
  15.         function GetMessageSecurely() {  
  16.             WebServiceSecurity.MessageService.SecureMessage(OnSuccess, OnFail);  
  17.         }  
  18.         function OnSuccess(result) {  
  19.             alert(result);  
  20.         }  
  21.         function OnFail(error) {  
  22.             alert(error.get_message());  
  23.   
  24.         }  
  25.     </script>  
  26.   
  27.   
  28. <form id="form1" runat="server">  
  29.     <asp:scriptmanager id="ScriptManager1" runat="server">  
  30.         <services>  
  31.             <asp:servicereference path="~/MessageService.asmx">  
  32.         </asp:servicereference></services>  
  33.     </asp:scriptmanager>  
  34. <div>  
  35. <input type="button" title="TEST SERVICE" value="TEST SERVICE" onclick="javascript:GetMessageSecurely();">  
  36.     </div>  
  37. </form>  
Not: Yukarıdaki javascript fonksiyonlarında tetiklenen eventler update panel kullanılan sayfalarda da tetiklenebilir.
Yukarıda sayfaya eklenen hatalı serviceToken nesnesi servise gönderildiğinde servis tarafında hatalı sonuç elde edilecektir. Default.aspx.cs sayfasındaki Header nesnesini Cashe kaydeden kod parçağı ve aspx tarafında header koleksiyonuna ekleyen scriptler kaldırıldığında da “servis tarafından yetkili olmayan kullanıcı” şeklinde cevap dönecektir.

2. Session Control

Yukarıda yaptığımız örnek uygulamanı aynısını Session Control içinde uygulayabiliriz. Servisin çağırılacağı sayfayı aşağıdaki gibi oluşturabiliriz. Bu sayfada üretilen ServiceToken session nesnesinin servis tarafında olup olmadığı kontrol edilerek servisin güvenlik kontrolü yapılmış olur.
Düz metinPanoya kopyalaYazdır
  1. using System;  
  2. using System.Collections.Generic;  
  3. using System.Linq;  
  4. using System.Web;  
  5. using System.Web.UI;  
  6. using System.Web.UI.WebControls;  
  7.   
  8. namespace WebServiceSecurity  
  9. {  
  10.     public partial class SessionControl : System.Web.UI.Page  
  11.     {  
  12.         protected void Page_Load(object sender, EventArgs e)  
  13.         {  
  14.             if (Session["ServiceToken"] == null) Session["ServiceToken"] = Guid.NewGuid().ToString() + ":ServiceToken";  
  15.         }  
  16.     }  
  17. }  
Dikkat etmemiz gereken nokta webservis içerisinde kullandığımız GetMessage() metoduna çalışma anında bir özellik değeri(attribute) atamalıyız. [WebMethod(EnableSession=true)] Enable Session = true WebMothod attribute’üne parametre belirtmeliyiz. Böylece web sayfalarımızda ürettiğimiz session nesnelerine HttpContext.Current.Session ile ulaşabiliriz.
Not: Projemizdeki tüm sayfalardan yapılacak requestlerin kontrolünü sağlamak istiyorsak gloabal.asax dosyamızda Session Start Event’ında bu değeri otomatik olarak oluşturabiliriz.
Düz metinPanoya kopyalaYazdır
  1. protected void Session_Start(object sender, EventArgs e)  
  2.         {  
  3.             Session["ServiceToken"] = Guid.NewGuid().ToString() + ":ServiceToken";  
  4.         }  
WebServiceActiveSession.asmx .cs
Düz metinPanoya kopyalaYazdır
  1. using System;  
  2. using System.Collections.Generic;  
  3. using System.Linq;  
  4. using System.Web;  
  5. using System.Web.Services;  
  6.   
  7. namespace WebServiceSecurity  
  8. {  
  9.     ///  
  10. <summary>  
  11.     /// Summary description for WebServiceActiveSession  
  12.     /// </summary>  
  13.   
  14.     [WebService(Namespace = "http://tempuri.org/")]  
  15.     [WebServiceBinding(ConformsTo = WsiProfiles.BasicProfile1_1)]  
  16.     [System.ComponentModel.ToolboxItem(false)]  
  17.     // To allow this Web Service to be called from script, using ASP.NET AJAX, uncomment the following line.  
  18.     [System.Web.Script.Services.ScriptService]  
  19.     public class WebServiceActiveSession : System.Web.Services.WebService  
  20.     {  
  21.   
  22.         [WebMethod(EnableSession=true)]  
  23.         public string GetMessage()  
  24.         {  
  25.             string result="";  
  26.             if (HttpContext.Current.Session["ServiceToken"] != null)  
  27.                 result = "Authenticated User For Web Service " + Session["ServiceToken"].ToString();  
  28.             else  
  29.                 result ="Acces Denied to This Service";  
  30.             return result;  
  31.         }  
  32.     }  
  33. }  
Yukarıda servisi test edebilmemiz için aşağıdaki gibi bir sayfa hazırlamak yeterli olacaktır.
SessionControl.aspx
Düz metinPanoya kopyalaYazdır
  1. <%@ Page Language="C#" AutoEventWireup="true" CodeBehind="SessionControl.aspx.cs" Inherits="WebServiceSecurity.SessionControl" %>  
  2. <script type="text/javascript">  
  3.         function GetMessageSecurely() {  
  4.             WebServiceSecurity.WebServiceActiveSession.GetMessage(OnSuccess, OnFail);  
  5.         }  
  6.         function OnSuccess(result) {  
  7.             alert(result);  
  8.         }  
  9.         function OnFail(error) {  
  10.             alert(error.get_message());  
  11.   
  12.         }  
  13.     </script>  
  14.   
  15.   
  16. <form id="form1" runat="server">  
  17.     <asp:scriptmanager id="ScriptManager1" runat="server">  
  18.         <services>  
  19.             <asp:servicereference path="~/WebServiceActiveSession.asmx">  
  20.         </asp:servicereference></services>  
  21.     </asp:scriptmanager>  
  22. <div>  
  23. <input type="button" title="TEST SERVICE" value="TEST SERVICE" onclick="javascript:GetMessageSecurely();">  
  24.     </div>  
  25. </form>  
SessionControl.aspx.cs
Düz metinPanoya kopyalaYazdır
  1. using System;  
  2. using System.Collections.Generic;  
  3. using System.Linq;  
  4. using System.Web;  
  5. using System.Web.UI;  
  6. using System.Web.UI.WebControls;  
  7.   
  8. namespace WebServiceSecurity  
  9. {  
  10.     public partial class SessionControl : System.Web.UI.Page  
  11.     {  
  12.         protected void Page_Load(object sender, EventArgs e)  
  13.         {  
  14.             if (Session["ServiceToken"] == null) Session["ServiceToken"] = Guid.NewGuid().ToString() + ":ServiceToken";  
  15.         }  
  16.     }  
  17. }  
Web servisleri yazı dizimizde ilk etapta güvenlik konusunu ele aldık. Güvenlik konusunda diğer 2 maddeye gelecek yazımızda değineceğiz

Hiç yorum yok:

Yorum Gönder

Kaydol: Kayıt Yorumları (Atom)