Uygulamanız için uygun bir güvenlik stratejisi belirlemek, ASP.NET ile ilişkili farklı bileşenlerin birlikte nasıl çalıştığına ve güvenlik bilgilerini birbirleriyle nasıl iletişim kurduğuna dair temel bir anlayış gerektirir.

Bu bölüm, tarayıcı, IIS, ASP.NET ve dosya sistemi, veritabanları ve kurumsal hizmetler gibi çeşitli sistem kaynakları arasındaki güvenlik temas noktalarına genel bir bakış sağlar. Ayrıca ASP.NET’teki çeşitli dahili güvenlik mekanizmalarını da açıklar.

Bu tartışma, çeşitli bileşenler arasındaki güvenlik etkileşimine odaklandığından, bu bileşenlere ilişkin görsel bir yol haritasına sahip olmanıza yardımcı olabilir. Bir ASP.NET isteğinin işlenmesinde yer alan öğeleri ve isteğin bu bileşenlerden geçtiği sırayı gösterir.

İlk Talebin Tarayıcı Üzerinden Gönderilmesi

Tarayıcılar, ASP.NET tarafından yönetilen bir kaynak için IIS’ye bir istek göndererek tüm süreci başlatır. Başlangıçta, istek yalnızca istenen kaynağın URL’sini ve çeşitli HTTP başlıklarını içerir. Tarayıcılar mümkün olduğunda kaynaklara anonim olarak bağlanmaya çalıştığından, ilk istekte tanımlayıcı bilgi gönderilmez. İstek bir TCP/IP bağlantısı aracılığıyla geldiğinden, IIS, tarayıcı hakkında IP adresi gibi belirli ağ bilgilerini bilir.

IP Adresi veya Etki Alanına Dayalı IIS Yetkilendirmesi

IIS, isteğin kaynaklandığı IP adresine veya etki alanına bağlı olarak bir isteğe izin verme veya reddetme yeteneğine sahiptir. Unutmayın, tarayıcı TCP/IP protokolünü kullanarak bir istek gönderir, bu nedenle IIS her istek için IP ve etki alanı bilgilerine doğal olarak erişebilir. IIS, istek kısıtlı bir IP adresinden veya etki alanından kaynaklandığında 403 Erişim Reddedildi HTTP hatası oluşturarak, kullanıcıların sunucudaki bilgilere erişmesini etkili bir şekilde engeller.

IP adresi ve alan adı kısıtlamalarını birkaç şekilde kullanabilirsiniz. Öncelikle belirli bir departman veya grup için geliştirilmiş bir dahili uygulamanız olduğunu varsayalım. Gerçekten erişmesi gereken kişiler için IP alt kümesi dışında şirketteki herkesin erişimini reddetmek için IP adresi kısıtlamalarını kullanabilirsiniz.

Bu ne yapar? Diyelim ki, Satış departmanından öfkeli bir çalışanınız var ve bu, bir rakibe iş bulmasına yardımcı olacağı için Araştırma departmanının bilgi yönetimi uygulamasında saklanan bilgileri çalmak istiyor.

Şüphelenmeyen bir Araştırma departmanı çalışanından bir kullanıcı adı ve şifre alır ve kalkıştan önce toplayabildiği kadar çok bilgi almak için masasına geri döner. Herhangi bir IP kısıtlaması olmadan, kendi ofisinin rahatlığı ve güvenliğinden sisteme kolayca erişebilir.

Ancak IP kısıtlamaları nedeniyle ofisindeki bilgisayardan kullanıcı adı ve parola kullanılamaz. Bu noktada pes edebilir veya fark edilme olasılığının daha yüksek olduğu bir Araştırma departmanı bilgisayarından araştırma bilgilerine erişmek gibi yakalanma olasılığı daha yüksek bir şey yapabilir.

Belirli bir IP adresi aralığından gelen alışılmadık derecede büyük miktarda şüpheli etkinlik fark ederseniz, bir web sitesine veya uygulamaya erişimi reddetmek için IP kısıtlamalarını da kullanabilirsiniz. Tabii ki, web sitenize başka bir yerden erişerek her zaman bu sorunu çözebilirler, ancak onların işini zorlaştırmak için yapabileceğiniz her şey o kadar iyidir.

Asp.NET Core üyelik sistemi
Asp. Net Core RabbitMQ Kullanımı
Asp.NET Identity
Asp.NET Core Katmanlı mimari
Unit Test Yazma Asp.Net Core MVC API Sıfırdan
İdentity server 4 kullanımı
NET Core kütüphaneleri
ASP.NET Core Web API best practices

IIS Kimlik Doğrulaması

ASP.NET, bir kullanıcının bazı kaynaklara erişime izin vermeden önce kimlik doğrulaması yapmasını gerektirebilir. ASP.NET uygulamasını Form Kimlik Doğrulaması kullanacak şekilde yapılandırdıysanız, kullanıcı yalnızca kimlik bilgilerini girebilecekleri web tabanlı bir oturum açma formuna yönlendirilir; ASP.NET, IIS kimlik doğrulama bilgilerini tamamen dikkate almaz.

Ancak ASP.NET uygulamasını Windows Kimlik Doğrulaması kullanacak şekilde yapılandırdıysanız, ASP.NET kullanıcı bilgilerini belirlemek için IIS kimlik doğrulama bilgilerini kullanır. IIS, her biri bu bölümde daha sonra ele alınan Anonim, Temel, Özet, NTLM ve Kerberos kimlik doğrulamasını destekler.

Not IIS kimlik doğrulama ayarları, ASP.NET yapılandırmanızdan bağımsızdır. Başka bir deyişle, ASP.NET’i Windows Kimlik Doğrulamasını kullanacak şekilde yapılandırmak, IIS’nin Windows Kimlik Doğrulamasını otomatik olarak kullandığı anlamına gelmez. Form Kimlik Doğrulaması kullanmak, IIS’nin otomatik olarak Anonim Kimlik Doğrulaması kullandığı anlamına da gelmez. Uygun kimlik doğrulama türlerini kullanmak için ASP.NET uygulamasını (Web.config aracılığıyla) ve IIS uygulamasını (IIS konsolu aracılığıyla) yapılandırmanız gerekir.

IIS, 401 Yetkisiz HTTP hatasıyla anonim istekleri reddederek kullanıcıları kimlik doğrulaması yapmaya zorlar. Hatayla birlikte döndürülen yanıt başlıkları, tarayıcının IIS ile iletişim kurarken kullanması gereken kimlik doğrulama mekanizmasının türünü tanımlar.

Desteklenen kimlik doğrulama mekanizmaları, IIS’de bireysel uygulamaları nasıl yapılandırdığınıza bağlı olarak kaynaktan kaynağa değişebilir. Bir 401 Yetkisiz HTTP hatası aldıktan sonra, tarayıcılar kullanıcıdan kimlik bilgilerini istemeyi ve isteği uygun kimlik doğrulama verileriyle yeniden denemeyi bilir.

Tarayıcının belirtilen kimlik doğrulama türlerinden birini desteklediğini varsayarsak, isteği uygun kimlik doğrulama verileriyle yeniden gönderir. Değilse, tarayıcı kullanıcıya kimlik doğrulama yönteminin desteklenmediğini bildirmelidir.

Kimlik doğrulama verileri normalde, tarayıcı bir kullanıcı adı ve parola iletişim kutusu görüntülediğinde ve kullanıcı kimlik bilgilerini girdiğinde alınır. Ancak Internet Explorer, Tümleşik Windows Kimlik Doğrulaması adı verilen (sonuçta NTLM veya Kerberos Kimlik Doğrulaması kullanan) bir kimlik doğrulama mekanizmasını destekler.

Tümleşik Windows Kimlik Doğrulaması, IIS’ye kimlik doğrulama verileri sağlamak için Internet Explorer’ın erişim belirtecini kullanır. IIS’nin, genellikle kullanıcının bilgisayarının ve sunucunun aynı dahili ağda olmasını gerektiren tarayıcı erişim belirtecinin kimliğini doğrulayabildiğini varsayarsak, bu, Internet Explorer kullanıcıları için çoğu kişinin takdir etme eğiliminde olduğu diyalogsuz bir oturum açma işlemi sağlar. Aksi takdirde, IIS kimlik bilgilerini reddeder ve Internet Explorer kullanıcıdan farklı bir kullanıcı adı ve parola girmesini ister.

■Not : Firefox, Tümleşik Windows Kimlik Doğrulamasını destekler, ancak kullanıcıya bir iletişim kutusu görüntüler.

IIS, isteği uygun kimlik doğrulama verileriyle aldıktan sonra, bu kimlik doğrulama verilerini yerel bir veri deposuna veya Active Directory’ye karşı doğrular ve kimlik doğrulamayı reddeder veya kabul eder. Kimlik doğrulama başarısız olursa, IIS başka bir 401 Yetkisiz HTTP hatası oluşturur ve tarayıcının yeniden kimlik doğrulama denemesine izin verir. Kimlik doğrulama başarılı olursa, IIS kullanıcı için bir erişim belirteci oluşturur.

Web sitelerinizi, arama motorlarında en yukarı getirmek adına sizlere 3 adet paket öneriyoruz. Bu paketler sayesinde web siteleriniz aramalarda 1 yıl içerisinde en yukarıya tırmanacaktır. 

1) Backlink Paketi  50 $ (Yıllık Ücret)
2) Hızlandırma Paketi 300 $ (Yıllık Ücret)
3) Kelime Yönlendirme Paketi 150 $ (Aylık Ücret)

The post ASP.NET Güvenlik Mimarisi – SEO Hizmeti Sunma – SEO Hizmeti – SEO Hizmeti Ücretleri – SEO Hizmeti Yaptırma first appeared on Jeff Bezos Tasarım.