Bu bölümün başında, ASP.NET’in kimlik doğrulama ve yetkilendirme için kendi güvenlik mekanizmalarına sahip olduğunu öğrendiniz. Kimliğe bürünmeye ve bir işlemin veya iş parçacığının güvenlik bağlamının bir uygulamanın güvenlik haklarını nasıl belirlediğine de baktınız. Bu bölümde, bir ASP.NET uygulaması için kimlik doğrulama, yetkilendirme ve kimliğe bürünmeyi nasıl yapılandıracağınızı öğreneceksiniz.

Aksi belirtilmedikçe, aşağıdaki bölümlerde açıklanan yapılandırma ayarının uygulamanın kök klasöründe bulunan Web.config dosyasına yerleştirilmesi gerektiğini varsaymalısınız.

ASP.NET Kimlik Doğrulamasını Yapılandırma

Bildiğiniz gibi ASP.NET, Windows, Forms, Passport ve Anonim (Hiçbiri) Kimlik Doğrulamayı destekler. Bu bölümde daha önce her birinin avantajlarını ve dezavantajlarını öğrendiniz, bu yüzden burada yalnızca yapılandırmaya odaklanacağım. (Pasaport Kimlik Doğrulamasını tartışmayacağım çünkü çoğu geliştiricinin karşılaşacağı bir şey değil.)

Anonim Kimlik Doğrulama

Anonim Kimlik Doğrulama, yapılandırılması en kolay kimlik doğrulama mekanizmasıdır çünkü çok az ASP.NET yapılandırması gerektirir ve NTFS yapılandırması gerektirmez. Listeleme, Web.config’te nasıl göründüğünü gösterir.

Erişimin gerçekten anonim olmasını istiyorsanız, ASP.NET’te Anonim Kimlik Doğrulamayı kullanırken IIS’yi anonim erişime izin verecek şekilde yapılandırmalısınız.

Aksi takdirde, IIS, isteği işlenmek üzere ASP.NET’e teslim etmeden önce kullanıcıyı kimlik doğrulaması yapmaya zorlar ve kullanıcı bilgilerini bağlama yükleyen kimlik doğrulama modüllerinin hiçbiri etkinleştirildiğinde etkinleştirilmediğinden, kullanıcı ASP.NET’te anonim olarak görünmeye devam eder. mod Yok olarak ayarlanmıştır.

Windows Kimlik Doğrulaması

Windows Kimlik Doğrulaması ayrıca oldukça basit bir ASP.NET yapılandırmasına sahiptir, ancak NTFS dosya izinlerini yapılandırmak için daha fazla çalışma gerektirir.

Uygulamanızı Windows Kimlik Doğrulaması kullanacak şekilde yapılandırmanın, bu bölümde daha önce açıklanan, kimliği doğrulanmış kullanıcı için NTFS dosya izinlerini uygulayan dosya yetkilendirme modülünü de etkinleştirdiğini unutmayın. ASP.NET, Web.config’te herhangi bir mod belirtilmemişse varsayılan olarak Windows Kimlik Doğrulaması’nı kullanır.

Uygulamanız Windows Kimlik Doğrulaması kullandığında kullanıcının kimliğini doğrulamak için IIS’yi yapılandırmanız gerekir. ASP.NET’te Windows Kimlik Doğrulaması olarak adlandırılsa da, IIS’de Tümleşik Windows Kimlik Doğrulaması ile sınırlı değilsiniz. Temel ve/veya Özet Kimlik Doğrulamasını da kullanabilirsiniz.

Asp.NET Core üyelik sistemi
Asp. Net Core RabbitMQ Kullanımı
Asp.NET Identity
Asp.NET Core Katmanlı mimari
Unit Test Yazma Asp.Net Core MVC API Sıfırdan
İdentity server 4 kullanımı
NET Core kütüphaneleri
ASP.NET Core Web API best practices

Form Kimlik Doğrulaması

Form Kimlik Doğrulama, Anonim veya Windows Kimlik Doğrulama’dan daha fazla yapılandırma ayarına sahiptir, ancak bunların çoğu nadiren kullanılır veya Web Sitesi Yönetim Aracı ile otomatik olarak yapılandırılabilir. Liste, Web.config’de temel bir Form Kimlik Doğrulaması yapılandırmasını gösterir.

<authentication> öğesinin alt öğesi olan <forms> öğesinde Form Kimlik Doğrulamasına özgü ayarları belirtirsiniz. <forms> öğesinin, tümü isteğe bağlı olan ve Form Kimlik Doğrulamasını özel uygulamanızın gereksinimlerine göre özelleştirmenize olanak tanıyan bir dizi parametresi vardır. Çeşitli parametreleri, amaçlarını ve belirtilmediğinde varsayılan değerlerini listeler.

Form Kimlik Doğrulaması, kullanıcıları ve parolaları doğrudan Web.config’te sabit olarak kodlamanıza izin veren bir <kimlik bilgileri> bölümünü de destekler. Bu, geliştiricilerin bir veritabanı kullanmak zorunda kalmadan bir Forms uygulaması için kullanıcı oluşturmasının hızlı ve kirli bir yoluydu.

ASP.NET 1.1’de nadiren kullanılmıştır ve ASP.NET 2.0’daki yerleşik üyelik ve rol sağlayıcılar nedeniyle kullanımı azalmaya devam edecektir. Bununla birlikte, bütünlük adına, Liste  <credentials> öğesinin nasıl kullanılacağına dair bir örnek göstermektedir.

Bir kullanıcının parolasını düz metin biçiminde veya MD5 veya SHA1 karması olarak saklayabilirsiniz. Parola biçimini, <credentials> bölümünün passwordFormat özniteliğinde belirleyebilirsiniz.

ASP.NET Yetkilendirmesini Yapılandırma

ASP.NET uygulamalarında yetkilendirme, istekle ilişkili HttpContext’in User özelliğine dayanır. ASP.NET’teki her kimlik doğrulama modülünün, User özelliğini kullanıcının kimlik ve rol bilgilerini içeren uygun bir IPrincipal nesnesiyle doldurmaktan sorumlu olduğunu bölümün önceki bölümlerinden hatırlayacaksınız. Bu, ASP.NET’in yetkilendirme tabanlı hesap ve grup bilgilerini herhangi bir konumdan çalıştırmasına olanak tanır.

Belirli kullanıcılar, roller veya joker karakterler için izin verme ve reddetme girişleri oluşturarak Web.config’in <yetkilendirme> bölümünde yetkilendirme ayarlarını tanımlarsınız. Liste, size bir dizi farklı girişi gösteren örnek bir <yetkilendirme> bölümüdür.

ASP.NET, istekte bulunan kullanıcı için geçerli bir giriş bulana kadar yetkilendirme girişlerini sırayla çalıştırır ve ardından onu uygular; bu, girişlerin sırasının çok önemli olduğu anlamına gelir. ASP.NET’in önceki girişleri nasıl yorumlayacağına bir göz atalım. Kullanıcıların bu yetkilendirme yapılandırmasıyla korunan bir dizindeki bir rapor sayfasına erişmeye çalıştıklarını varsayalım.

İlk giriş “?” anonim kullanıcıları temsil eden joker karakter. Bu giriş, ASP.NET’i rapor için tüm anonim istekleri reddetmeye zorlar ve kullanıcıları kimlik doğrulaması yapabilmeleri için <forms> öğesinde belirtilen loginUrl’ye yönlendirir. İkinci giriş, virgülle ayrılmış bir kullanıcı adları listesidir.

Rob veya Matt rapora erişmeye çalışırsa istek reddedilir. Ancak Kirk, üçüncü giriş nedeniyle erişime izin verilir. Ardından, Rapor Yok rolü için bir reddetme girişi görürsünüz. Rapor Yok rolünün parçası olan kullanıcıların, bu giriş nedeniyle raporlara erişimi reddedilir.

Bir sonraki giriş, Yönetici veya RepoertViewer rolünün parçası olan kullanıcıların raporu görüntülemesine izin verir. Bununla birlikte, bir kullanıcı hem Rapor Yok rolünün (son girişten) hem de Yönetici rolünün (bu girişten) üyesiyse, son giriş nedeniyle kullanıcının yetkilendirmesinin reddedileceğini anlayın. Unutmayın, düzen çok önemlidir.

Son olarak, diğer tüm kullanıcıların erişimi reddedilir. Varsayılan olarak, kullanıcılara kaynaklara erişim izni verildiğinden, yetkilendirme bölümünüzün en altına buna benzer bir tümünü reddetme girişi koymak isteyeceksiniz. Bu nedenle, Çalışan rolünde olan Joe adlı bir kullanıcı, yakalama yerinde olmasaydı, tabii ki Joe veya Çalışan rolü özellikle reddedilmedikçe, raporlara erişebilirdi, ancak bu örnekte durum böyle değildir.

ASP.NET, isteğin yetkilendirilip yetkilendirilmeyeceğini belirlemek için, istenen kaynağın bulunduğu klasörün Web.config dosyasındaki yetkilendirme ayarlarını kullanır. ASP.NET klasörde bir Web.config bulamazsa üst klasörü kontrol eder. Uygulama köküne ulaşana kadar ana klasörleri kontrol etmeye devam eder. Bu, yetkilendirme ayarlarını klasör bazında oluşturabileceğiniz veya klasörlerin yetkilendirme ayarlarını bir üst klasörden devralmasına izin verebileceğiniz anlamına gelir.

Örneğin, üç korumalı klasör ve bir ortak klasör içeren bir uygulama yapınız olduğunu varsayalım. Korunan klasörlere anonim erişimi devre dışı bırakmak, ortak klasöre erişimi etkinleştirmek ve mümkün olduğunca az yapılandırma yapmak istiyorsunuz. Bunu yapmak için, uygulamanın kök klasöründe bir Web.config ve ortak klasörde bir Web.config oluşturmalısınız.

Web sitelerinizi, arama motorlarında en yukarı getirmek adına sizlere 3 adet paket öneriyoruz. Bu paketler sayesinde web siteleriniz aramalarda 1 yıl içerisinde en yukarıya tırmanacaktır. 

1) Backlink Paketi  50 $ (Yıllık Ücret)
2) Hızlandırma Paketi 300 $ (Yıllık Ücret)
3) Kelime Yönlendirme Paketi 150 $ (Aylık Ücret)

The post ASP.NET Güvenlik Yapılandırma Ayarları – SEO Hizmeti Sunma – SEO Hizmeti – SEO Hizmeti Ücretleri – SEO Hizmeti Yaptırma first appeared on Jeff Bezos Tasarım.

Uygulamanız için uygun bir güvenlik stratejisi belirlemek, ASP.NET ile ilişkili farklı bileşenlerin birlikte nasıl çalıştığına ve güvenlik bilgilerini birbirleriyle nasıl iletişim kurduğuna dair temel bir anlayış gerektirir.

Bu bölüm, tarayıcı, IIS, ASP.NET ve dosya sistemi, veritabanları ve kurumsal hizmetler gibi çeşitli sistem kaynakları arasındaki güvenlik temas noktalarına genel bir bakış sağlar. Ayrıca ASP.NET’teki çeşitli dahili güvenlik mekanizmalarını da açıklar.

Bu tartışma, çeşitli bileşenler arasındaki güvenlik etkileşimine odaklandığından, bu bileşenlere ilişkin görsel bir yol haritasına sahip olmanıza yardımcı olabilir. Bir ASP.NET isteğinin işlenmesinde yer alan öğeleri ve isteğin bu bileşenlerden geçtiği sırayı gösterir.

İlk Talebin Tarayıcı Üzerinden Gönderilmesi

Tarayıcılar, ASP.NET tarafından yönetilen bir kaynak için IIS’ye bir istek göndererek tüm süreci başlatır. Başlangıçta, istek yalnızca istenen kaynağın URL’sini ve çeşitli HTTP başlıklarını içerir. Tarayıcılar mümkün olduğunda kaynaklara anonim olarak bağlanmaya çalıştığından, ilk istekte tanımlayıcı bilgi gönderilmez. İstek bir TCP/IP bağlantısı aracılığıyla geldiğinden, IIS, tarayıcı hakkında IP adresi gibi belirli ağ bilgilerini bilir.

IP Adresi veya Etki Alanına Dayalı IIS Yetkilendirmesi

IIS, isteğin kaynaklandığı IP adresine veya etki alanına bağlı olarak bir isteğe izin verme veya reddetme yeteneğine sahiptir. Unutmayın, tarayıcı TCP/IP protokolünü kullanarak bir istek gönderir, bu nedenle IIS her istek için IP ve etki alanı bilgilerine doğal olarak erişebilir. IIS, istek kısıtlı bir IP adresinden veya etki alanından kaynaklandığında 403 Erişim Reddedildi HTTP hatası oluşturarak, kullanıcıların sunucudaki bilgilere erişmesini etkili bir şekilde engeller.

IP adresi ve alan adı kısıtlamalarını birkaç şekilde kullanabilirsiniz. Öncelikle belirli bir departman veya grup için geliştirilmiş bir dahili uygulamanız olduğunu varsayalım. Gerçekten erişmesi gereken kişiler için IP alt kümesi dışında şirketteki herkesin erişimini reddetmek için IP adresi kısıtlamalarını kullanabilirsiniz.

Bu ne yapar? Diyelim ki, Satış departmanından öfkeli bir çalışanınız var ve bu, bir rakibe iş bulmasına yardımcı olacağı için Araştırma departmanının bilgi yönetimi uygulamasında saklanan bilgileri çalmak istiyor.

Şüphelenmeyen bir Araştırma departmanı çalışanından bir kullanıcı adı ve şifre alır ve kalkıştan önce toplayabildiği kadar çok bilgi almak için masasına geri döner. Herhangi bir IP kısıtlaması olmadan, kendi ofisinin rahatlığı ve güvenliğinden sisteme kolayca erişebilir.

Ancak IP kısıtlamaları nedeniyle ofisindeki bilgisayardan kullanıcı adı ve parola kullanılamaz. Bu noktada pes edebilir veya fark edilme olasılığının daha yüksek olduğu bir Araştırma departmanı bilgisayarından araştırma bilgilerine erişmek gibi yakalanma olasılığı daha yüksek bir şey yapabilir.

Belirli bir IP adresi aralığından gelen alışılmadık derecede büyük miktarda şüpheli etkinlik fark ederseniz, bir web sitesine veya uygulamaya erişimi reddetmek için IP kısıtlamalarını da kullanabilirsiniz. Tabii ki, web sitenize başka bir yerden erişerek her zaman bu sorunu çözebilirler, ancak onların işini zorlaştırmak için yapabileceğiniz her şey o kadar iyidir.

Asp.NET Core üyelik sistemi
Asp. Net Core RabbitMQ Kullanımı
Asp.NET Identity
Asp.NET Core Katmanlı mimari
Unit Test Yazma Asp.Net Core MVC API Sıfırdan
İdentity server 4 kullanımı
NET Core kütüphaneleri
ASP.NET Core Web API best practices

IIS Kimlik Doğrulaması

ASP.NET, bir kullanıcının bazı kaynaklara erişime izin vermeden önce kimlik doğrulaması yapmasını gerektirebilir. ASP.NET uygulamasını Form Kimlik Doğrulaması kullanacak şekilde yapılandırdıysanız, kullanıcı yalnızca kimlik bilgilerini girebilecekleri web tabanlı bir oturum açma formuna yönlendirilir; ASP.NET, IIS kimlik doğrulama bilgilerini tamamen dikkate almaz.

Ancak ASP.NET uygulamasını Windows Kimlik Doğrulaması kullanacak şekilde yapılandırdıysanız, ASP.NET kullanıcı bilgilerini belirlemek için IIS kimlik doğrulama bilgilerini kullanır. IIS, her biri bu bölümde daha sonra ele alınan Anonim, Temel, Özet, NTLM ve Kerberos kimlik doğrulamasını destekler.

Not IIS kimlik doğrulama ayarları, ASP.NET yapılandırmanızdan bağımsızdır. Başka bir deyişle, ASP.NET’i Windows Kimlik Doğrulamasını kullanacak şekilde yapılandırmak, IIS’nin Windows Kimlik Doğrulamasını otomatik olarak kullandığı anlamına gelmez. Form Kimlik Doğrulaması kullanmak, IIS’nin otomatik olarak Anonim Kimlik Doğrulaması kullandığı anlamına da gelmez. Uygun kimlik doğrulama türlerini kullanmak için ASP.NET uygulamasını (Web.config aracılığıyla) ve IIS uygulamasını (IIS konsolu aracılığıyla) yapılandırmanız gerekir.

IIS, 401 Yetkisiz HTTP hatasıyla anonim istekleri reddederek kullanıcıları kimlik doğrulaması yapmaya zorlar. Hatayla birlikte döndürülen yanıt başlıkları, tarayıcının IIS ile iletişim kurarken kullanması gereken kimlik doğrulama mekanizmasının türünü tanımlar.

Desteklenen kimlik doğrulama mekanizmaları, IIS’de bireysel uygulamaları nasıl yapılandırdığınıza bağlı olarak kaynaktan kaynağa değişebilir. Bir 401 Yetkisiz HTTP hatası aldıktan sonra, tarayıcılar kullanıcıdan kimlik bilgilerini istemeyi ve isteği uygun kimlik doğrulama verileriyle yeniden denemeyi bilir.

Tarayıcının belirtilen kimlik doğrulama türlerinden birini desteklediğini varsayarsak, isteği uygun kimlik doğrulama verileriyle yeniden gönderir. Değilse, tarayıcı kullanıcıya kimlik doğrulama yönteminin desteklenmediğini bildirmelidir.

Kimlik doğrulama verileri normalde, tarayıcı bir kullanıcı adı ve parola iletişim kutusu görüntülediğinde ve kullanıcı kimlik bilgilerini girdiğinde alınır. Ancak Internet Explorer, Tümleşik Windows Kimlik Doğrulaması adı verilen (sonuçta NTLM veya Kerberos Kimlik Doğrulaması kullanan) bir kimlik doğrulama mekanizmasını destekler.

Tümleşik Windows Kimlik Doğrulaması, IIS’ye kimlik doğrulama verileri sağlamak için Internet Explorer’ın erişim belirtecini kullanır. IIS’nin, genellikle kullanıcının bilgisayarının ve sunucunun aynı dahili ağda olmasını gerektiren tarayıcı erişim belirtecinin kimliğini doğrulayabildiğini varsayarsak, bu, Internet Explorer kullanıcıları için çoğu kişinin takdir etme eğiliminde olduğu diyalogsuz bir oturum açma işlemi sağlar. Aksi takdirde, IIS kimlik bilgilerini reddeder ve Internet Explorer kullanıcıdan farklı bir kullanıcı adı ve parola girmesini ister.

■Not : Firefox, Tümleşik Windows Kimlik Doğrulamasını destekler, ancak kullanıcıya bir iletişim kutusu görüntüler.

IIS, isteği uygun kimlik doğrulama verileriyle aldıktan sonra, bu kimlik doğrulama verilerini yerel bir veri deposuna veya Active Directory’ye karşı doğrular ve kimlik doğrulamayı reddeder veya kabul eder. Kimlik doğrulama başarısız olursa, IIS başka bir 401 Yetkisiz HTTP hatası oluşturur ve tarayıcının yeniden kimlik doğrulama denemesine izin verir. Kimlik doğrulama başarılı olursa, IIS kullanıcı için bir erişim belirteci oluşturur.

Web sitelerinizi, arama motorlarında en yukarı getirmek adına sizlere 3 adet paket öneriyoruz. Bu paketler sayesinde web siteleriniz aramalarda 1 yıl içerisinde en yukarıya tırmanacaktır. 

1) Backlink Paketi  50 $ (Yıllık Ücret)
2) Hızlandırma Paketi 300 $ (Yıllık Ücret)
3) Kelime Yönlendirme Paketi 150 $ (Aylık Ücret)

The post ASP.NET Güvenlik Mimarisi – SEO Hizmeti Sunma – SEO Hizmeti – SEO Hizmeti Ücretleri – SEO Hizmeti Yaptırma first appeared on Jeff Bezos Tasarım.