Dominick Baier. Security Consultant thinktecture

Transkript

1 Dominick Baier Security Consultant thinktecture

2 Wir unterstützen Software-Entwickler und Architekten bei der Realisierung von.net- und Web Services-Projekten Wir versuchen, am Puls der Zeit zu bleiben und gleichzeitig die heutigen Probleme mit heutiger Technologie zu lösen Meine Spezialgebiete sind Sicherheit in verteilten Anwendungen, Identitäts-Management sowie die Windows/.NET Sicherheits-APIs und Technologien

3 IIS 6 und seine Probleme IIS 7 Architektur ASP.NET Integration Neue APIs Konfiguration und Management Monitoring und Fehlerbehandlung Migration

4 IIS 6 ist monolithisch Oftmals viele Features gar nicht benötigt Schwierig zu erweitern ASP.NET als ISAPI Extension realisiert Eher Aufsatz als Integration Getrenntes Konfigurations-System Nur in Windows Server enthalten IIS 5.1 und Cassini nicht optimal zum entwickeln und testen

5 Authentication NTLM Basic Anon Determine Extension Send Response Log CGI Static File ISAPI Compress aspnet_isapi.dll CLR HttpRuntime Pipeline (system.web.dll)

6 AppDomain: /LM/W3SVC/1/Root/MyApp HttpRuntime HttpApplication Factory HttpContext HttpRequest HttpResponse HttpSessionState HttpApplicationState 1 HttpApplication 2 IHttpModule Module 1 IHttpHandlerFactory Handler Factory 4 IHttpModule IHttpModule Module 2 Module n 3 IHttpHandler Handler

7 Verarbeiten Anfragen und Erzeugen den HTTP Response Implementieren IHttpHandler Beispiele Web Forms (.aspx) Web Services (.asmx) WCF Dienste (.svc) Tracing (.axd)

8 Werden implizit bei jedem Request aufgerufen Implementieren IHttpModule Behandeln Ereignisse in der HTTP Pipeline Beispiele Forms Authentication URL Authorization Role Manager Profile Session State

9 Step/Event BeginRequest AuthenticateRequest AuthorizeRequest ResolveRequestCache MapRequestHandler AcquireRequestState PreRequestHandlerExecute ExecuteHandler PostRequestHandlerExecute ReleaseRequestState UpdateRequestCache EndRequest Detail Benutzer authentifizieren Autorisierung Output cache laden Handler mappen Session laden IHttpHandler.ProcessRequest ausführen Session speichern Output cache updaten

10 Authentication NTLM UpdateCache Send Response SendResponse Log Basic Anon Authorization ResolveCache Determine ExecuteHandler CGI Static File ISAPI Compress - Server-Funktionalität in ca. 40 Module aufgeteilt - Basieren auf einem öffentlichen API - Können frei konfiguriert werden - Der sog. WebCore ruft die Module in einer Pipeline auf - WebCore selbst ist eine hostbare Komponente

11 Authentication Authorization ResolveCache ExecuteHandler UpdateCache SendResponse Basic Anon Static File ISAPI Compress Log Classic Mode ISAPI Eweiterung Integrated Mode.NET Modules / Handlers eweitern aspnet_isapi.dll die IIS Pipeline Authentication Forms Können Windows alle Requests ASPX Map verarbeiten Handler Trace

12 IIS 7 hat zwei (fast) gleichwertige Programmierschnittstellen unmanaged (neuer API) managed (ASP.NET module und handler) Dadurch ergeben sich leichte Veränderungen für ASP.NET Zugriff auf Header, Cookies und Server Variable Timing Veränderungen in der Pipeline Viele kleine Veränderugen

13 WebCore muss Objekte zwischen C++ and CLR marshalen PreConditions erlauben Optimierungen Authentication Authorization ExecuteHandler marshal unmanaged module1 unmanaged module2... managed module1 managed module2... managed/unmanaged Handler

14 Configuration System applicationhost.config metabase.xml machine.config metabase.xml root web.config metabase metabase metabase site web.config app web.config vdir web.config

15 <system.applicationhost> Hosting Environment Konfiguration, z.b. app pools, sites, apps, vdirs <system.web> ASP.NET Konfiguration trust levels, profile, pages, session state <system.webserver> IIS7 Konfiguration authentication, SSL, mime types, default document Erweiterbar/Absicherbar

16 ServerManager Sites ApplicationPools WorkerProcesses ApplicationPool/Site Application/Vdir Defaults Applications ApplicationDomains VirtualDirectories

17 Managed Module werden jetzt viel früher ausgeführt kein Context.User vor PostAuthenticateRequest keine Impersonierung vor PostAuthenticateRequest Module erhalten auch anonyme Requests Neue Konten und Gruppen IUSR und IIS_IUSRS Haben jetzt well-known SIDs LOGON_USER wird von Forms Authentication gefüllt

18 Output Caching Ähnlich dem ASP.NET Page Caching Für alle Content Typen Kernel Cache Unterstützung Native URL Autorisierung verbesserte Syntax URL Rewriting Kompression

19 Failed Request Event Buffering (FREB) Detailertes Request Tracing IisTraceListener für System.Diagnostics Tracing Integration IisTraceWebEvent Provider für Health Monitoring Framework Integration Page Tracing Integration Realtime Activity Monitor

20 Web Management Client Connection Connection Connection Manager Module Service Service Proxy Module UI Module UI Content and Configuration Login Handler Web Management Server (Standalone Web server : ) Runtime state Provider Data IIS 7.0 ( Application appdomain Provider

21 Neue System Komponente Aktiviert IIS 7 Anwendungen aufgrund von Netzwerk-Anfragen Unterstützt HTTP, TCP/IP, Named Pipes und MSMQ Wird von WCF verwendet Erlaubt das hosten von nicht-http WCF Diensten in IIS 7

22 IIS 7 ist komplettes Redesign Managed Code ist ein First Class Citizen Bestehender Handler und Module Code kann übernommen werden Konfigurationssystem endlich brauchbar Gleicher IIS auf Client und Server Gut testen bei Migration!

23 Mein Blog IIS 7 Überblick IIS 6 -> 7 Breaking Changes IIS 7 Referenz

24 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.