构建安全的.NET系统(一)

自从1999年夏季，每个出自Redmond的Microsoft软件产品都使用了.NET品牌。.NET 品牌产品由一系列运行在Windows 2000操作系统中的优秀商业应用软件组成。这些应用软件包括SQL Server 2000、Commerce Server 2000、 BizTalk Server 2000、Exchange 2000 Server、Application Center 2000 Server、Mobile Information 2001 Server以及Internet Security and Acceleration (ISA) Server 2000。

　　Microsoft同时也用.NET品牌来命名新一代.应用软件开发体系和方法，也就是所谓的.Net框架。由于Microsoft对.NET品牌技术的定义非常宽范，它将影响到所有现存的基于Microsoft 技术的IT系统或者Microsoft的关键型应用软件。

　　当你规划你的.NET基本结构时，你需要考虑使用哪些安全服务。最基本的安全服务应该包括可靠的身份验证、数据保密和数据完整性保护（用于通过网络发送的数据和存储在任何类型存储介质上的数据）、认可服务及antireplay（反数据窃听）服务。这些服务以及提供服务的技术对任何系统结构——不仅仅是.NET——都很重要。当然，.NET特有的安全功能也还存在。不过，我们希望能够保护.NET系统结构的所有部分，而不仅仅是利用.NET各z应用软件中自带的安全功能进行系统防护。

　　为实施这些基本的安全服务，你需要掌握几项关键技术和基本设计原理。如何设置安全区和防火墙、“侵入检测系统”（IDSs）、身份验证、身份验证授权、公钥基本结构（PKI）以及如何强化平台安全（hardening）对你的.NET基本结构是非常重要的。

　　一个典型的.NET基本结构

　　一个典型的.NET基本结构。需要保护的组件有Web服务器、商务对象服务器、目录、证书颁发服务器（CAs）、企业资源规划（ERP）系统、数据库以及组件间的通信连接。

　　在.NET系统中，内部和外部客户完全基于Web访问.NET基本结构。一个典型的.NET基本结构将包括不同的可用性和负载均衡解决方案。在Web服务器级，捆绑在Win2K Advanced Server、Win2K Datacenter Server和Application Center 2000上的“网络负载均衡服务”（NLBS），可提供高可用性和负载均衡能力。SQL Server数据库和ERP系统则支持群集。需要注意的是系统同时也包括一个COM+的商务对象群集。你可使用Application Center 2000来集成和管理该COM+群集及Web服务器的NLBS。（

　　在我撰写此文的时候，要对有某些.NET应用软件功能进行深入的讨论是不太可能的，这是因为那些功能的一些细节还不清楚。然而，鉴于Microsoft正在Win2K上建立.NET基本结构，我们可以认为，.NET将进一步开发Win2K的安全功能。同时，随着基于Internet 的协议的重要性日益增强，我们可以认为，将主要通过标准Internet协议（例如HTTP、SMTP、“轻量级目录访问协议”—LDAP），访问.NET基本结构组件。

　　安全区和防火墙

　　当你规划你的安全.NET基本结构，你将需要评估一下当前公司的安全区和防火墙。你的.NET基本结构可能需要你作一定的改变。即使你构建的应用软件不会与外界接触，你也需要考虑使用防火墙。内部防火墙可以保护站点或有特定安全要求的部门，可以限制对你内部网络某些部分的访问（在入侵者破坏防火墙的情况下，内部防火墙将是你外部安全界线的一部分）。

　　当你设计系统结构的时候，可能会碰到两个涉及到安全区和防火墙的常见问题。第一个问题是，我应该将数据和服务器放在何处？用来存放数据和服务器的安全区取决于你正使用的数据或服务器的目的。请评估你的服务器处理和存储的数据的机密程度，然后在你信任的安全区内存储机密的客户数据。

　　如果你的公司在网络拓扑中使用了不设防区域（DMZ），问题将复杂一些。尽管你应该在DMZ中只存放公用数据。然而，即使是公用数据的也需要保护其完整性。在2000年美国总统选举期间，两个候选人都不会想让入侵者改变CNN公布在其Web站点上的选票数。（不过，也许Al Gore并不会介意。）

　　第二个问题是，我该如何处理“远程过程调用”（RPC）及“安全套接字层”（SSL）/“传输层安全”（TLS）通信，使防火墙两边的应用实体可以进行通信。许多商业Web站点使用SSL/TLS为消费者提供一套基本的安全服务。该套基本安全服务通常包括服务器身份验证、客户身份验证、以及对SSL客户端与服务器之间传输数据完整性和保密性的保护。为了在在防火墙的层次处理SSL通信，你可以采取以下两种方法之一：SSL隧道操作，或SSL 桥接操作。大多数商业防火墙支持SSL隧道操作，使用HTTP CONNECT消息来告诉防火墙忽略特定的SSL会话的具体内容，只是简单地转发SSL包。在SSL桥接设置中，防火墙对SSL是敏感的，并保留正确的SSL证书。防火墙扮演SSL隧道终点的角色。SSL桥接操作不仅对在防火墙级处理SSL通信，而且让通信通道的公开（比如未被信任的区域）部分（与不支持SSL的应用相连接的部分）也可以使用SSL，因此不失为一种很好的解决方案。

　　RPC允许客户端使用远程应用软件相互联系。所有涉及.NET基本结构的组件都可使用RPC通信。值得特别关注的是，使用RPC在Microsoft的分布式组件模型（即DCOM和COM+）中实现组件之间的通讯，以及Active Directory（活动目录）的复制。

　　RPC很容易进行设置——如果不涉及防火墙的话。RPC的一个令人讨厌的特性就是使用动态入站端口，这使得用户无法预测即将使用哪个端口。出于安全因素考虑，很少有防火墙管理员愿意打开所有可能的端口。有关这个问题的更多信息，请参见Microsoft文章“HOWTO: Configure RPC Dynamic Port Allocation to Work with Firewall（如何配置RPC动态端口分配使其与防火墙协同工作）”（http://support.microsoft.com/support/kb /articles/q154/5/96.asp）。

　　那么，如何处理用于DCOM和COM+通讯的RPC和防火墙的呢？首先，你决不能使用RPC将Internet客户连接到你的.NET系统。相反，应选择一个基于HTTP的解决方案。只要不使用SSL或IP安全（IPSec），HTTP就比较容易控制，并且使用固定入站端口（缺省情况下为端口80）。然而，有时你需要考虑，如何设置RPC使其能通过防火墙进行DCOM和COM+通信。设想一下, 在基本结构中，你需要在DMZ中的一个Web服务器和一个COM+商业对象服务器之间进行COM+通信。在这种情况下，你可以使用RPC，通过隧道TCP或简单对象访问协议（SOAP）实现组件之间的通讯。

　　隧道TCP在DCOM通讯序列开始时，添加了一种基于HTTP的“握手”（handshake）。“握手”之后，隧道TCP在TCP上发送普通的DCOM包，不受HTTP的干涉。隧道TCP依赖于RPC_CONNECT消息，并需要一个RPC代理。要在Win2K上安装RPC代理，请打开控制面板的添加/删除程序项，添加COM Internet Services Proxy （CIS代理）Networking Service.(COM Internet服务代理网络服务)。要在Win2K或Windows NT 4.0客户端配置隧道TCP，可以使用dcomcnfg.exe 配置工具。有关配置隧道TCP和CIS代理的详细信息，请参见Marc Levy在MSDN上发表的文章“COM Internet Services”（http://msdn.microsoft.com/library/backgrnd /html/cis.htm）。 尽管隧道TCP和CIS代理解决了防火墙问题，但是它们依赖于Microsoft平台。

　　SOAP，.NET框架的一个时髦说法，是一项相当新的技术。Microsoft、Lotus、及IBM的专家们将SOAP定义为一项独立于平台的协议。SOAP的一个主要优势就是，它提供了一种使用HTTP协议消息来传送RPC通讯的方法。换句话说，SOAP允许客户端使用HTTP协议与远程的基于组件的应用软件进行通讯。

　　为将RPC信息嵌入到HTTP中，SOAP使用了XML编码。区别于隧道TCP，SOAP依赖于HTTP 协议获得远远多于初始“握手”的信息。有关SOAP的更多信息，请参见Aaron Skonnard在MSDN上发布的文章《SOAP: The Simple Object Access Protocol》（http://msdn.microsoft.com/library/periodic /period00/soap.htm）。

　　另外一个基于RPC的应用，在.NET系统结构安全领域特别令人感兴趣，那就是同一域内的域控制器（DC）之间的活动目录复制，这些域控制器是不同安全区的成员。到目前为止， Microsoft还不支持将SMTP协议用于域名相关的信息复制。为解决这一问题，你可以设置基于IPSec的隧道解决方案。IPSec允许你在网络层实施隧道操作。为建立通过防火墙的IPSec隧道，你需要打开以下端口：

　　用于DNS通信的53/TCP和53/UDP
　　用于Internet密钥交换（IKE）通信的500/UDP
　　用于Kerberos v5 通信的88/TCP和88/UDP（当你未使用预共享密钥或基于证书的身份验证方法时）

　　同时，你需要打开防火墙，以支持IPSec Encapsulating Security Payload（ESP,封装安全负载）——协议50，以及IPSec Authentication Header(AH，身份验证头)——协议51。

查看本文来源