ASP.NET में प्रपत्र प्रमाणीकरण का उपयोग करते समय सुरक्षा समस्या

पीटर वोगेल को बताता है



दो सुरक्षा शोधकर्ताओं, थाई डुओंग और जूलियानो रिज़ो ने डिफ़ॉल्ट एन्क्रिप्शन तंत्र में एक बग की खोज की, जिसका उपयोग आमतौर पर ASP.NET में फॉर्म प्रमाणीकरण को लागू करने के लिए उपयोग की जाने वाली कुकीज़ की सुरक्षा के लिए किया जाता है। शोधकर्ताओं द्वारा विकसित टूल ( पैडिंग ओरेकल एक्सप्लॉइट टूल या पीओईटी) का उपयोग करके, आप बार-बार एईएस एन्क्रिप्शन तंत्र का उपयोग करके एन्क्रिप्टेड कुकीज़ को संशोधित कर सकते हैं और, लौटी त्रुटियों की जांच करते हुए, कुकीज़ को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली मशीन कुंजी की गणना करें। शोधकर्ताओं के अनुसार, प्रक्रिया 100% विश्वसनीय है और किसी भी साइट के लिए 30 से 50 मिनट तक लगती है।





एक बार मशीन की कुंजी निर्धारित हो जाने के बाद, हमलावर डमी प्रमाणीकरण कुकीज़ बना सकता है। और अगर साइट के डेवलपर्स ने कुकीज़ में इस उपयोगकर्ता की भूमिका के बारे में जानकारी एम्बेड करने का विकल्प चुना है, तो हमलावर व्यवस्थापक की भूमिका को उपयुक्त कर सकता है। यह सुरक्षा छेद भूमिका सदस्यता प्रदाता के अन्य कार्यों को प्रभावित कर सकता है, ViewState स्पूफिंग के खिलाफ सुरक्षा, अन्य एन्क्रिप्टेड डेटा जो कुकीज़ में संग्रहीत किया जा सकता है या किसी अन्य तरीके से क्लाइंट साइड पर पहुंच योग्य हो सकता है।



बुरी खबर यह है कि समस्या बहुत बड़ी है और इस पर तुरंत ध्यान देने की जरूरत है। अच्छी बात यह है कि इसका समाधान काफी सरल है। यह हैक एईएस का उपयोग करके एन्क्रिप्शन के .NET कार्यान्वयन में एक बग का शोषण करता है। समाधान सरल है - आपको एक और एन्क्रिप्शन तंत्र का उपयोग करने के लिए स्विच करना होगा - उदाहरण के लिए, 3 डीईएस। चूंकि सदस्यता एन्क्रिप्शन और भूमिका प्रदाताओं को ASP.NET द्वारा नियंत्रित किया जाता है, इसलिए मौजूदा कोड का कोई संशोधन जो प्रपत्र प्रमाणीकरण का उपयोग करता है, की आवश्यकता नहीं है।



एन्क्रिप्शन विधि को वेब के लिए web.config फ़ाइल में, वेब सर्वर के लिए IIS 7 में या सर्वर पर .NET कॉन्फ़िगरेशन फ़ाइल में% SystemROOT% \ Microsoft.NET \ Framework \ version \ CONFIG \ डायरेक्टरी में बदला जा सकता है। 64-बिट सिस्टम पर,% SystemROOT% \ Microsoft.NET \ Framework64 \ version \ CONFIG \ निर्देशिका में कॉन्फ़िगरेशन फ़ाइल को बदलना भी आवश्यक है। एक विशिष्ट प्रविष्टि इस तरह दिखाई देगी:



<machineKey validationKey="AutoGenerate,IsolateApps"

validation="3DES"

decryptionKey="AutoGenerate,IsolateApps"

decryption="3DES" />







एक वेब फ़ार्म में, इस सेटिंग को फ़ार्म के सभी सर्वरों पर बदलना होगा।



ये विकल्प ViewState स्पूफिंग को रोकने के लिए भी उपयोग किए जाते हैं (ViewState डेटा एन्कोड किया गया है लेकिन एन्क्रिप्ट नहीं किया गया है)। इसलिए, यदि आप ये परिवर्तन करते हैं, तो यह 3DES का उपयोग करके ViewState एन्क्रिप्शन में भी परिणाम करेगा।



ग्राहक पर उपलब्ध जानकारी को एन्क्रिप्ट करने के लिए एईएस का उपयोग करने वाले डेवलपर्स को एक अलग एन्क्रिप्शन तंत्र का उपयोग करने के लिए कोड को बदलने पर विचार करना चाहिए।



बोंग एयर्स में शुक्रवार 17 सितंबर को आयोजित होने वाले सुरक्षा सम्मेलन में डोंग और रिज़ो इस मुद्दे के बारे में अधिक विस्तृत जानकारी प्रदान करने का इरादा रखते हैं।