SEGURIDAD EN APLICACIONES WEB CON GENEXUS

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Autenticación - Autorización

• Autenticación : Es un modo de asegurar que los usuarios son quién ellos dicen que ellos son.

• Autorización: Proceso por el cual se autoriza al usuario identificado a acceder a determinados recursos de la misma.

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Desarrollando la seguridad

• Crear un manejo de permisos y usuarios al sistema.

• Evitar que personas no autorizadas puedan autenticarse en mi

• Asegurarse que los usuarios solo accedan a la información queestán autorizados a manipular.

aplicativo.

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Errores Comunes

• No controlar que exista un usuario logueado en todas las pantallas de la aplicación.

• No validar los roles en cada pantalla.

• Confiar en que el usuario llega a las opciones por medio del menu y no usando la URL en el navegador.

• No usar las transacciones o webpanels como parte de mi aplicación y dejarlas accesibles.

• Poner el código o el nombre del usuario logueado en la forma o pasarlo por parámetro.

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Consideraciones

• No se puede confiar en todas validaciones que se ejecutan a lado del cliente.

• Las validaciones de los datos ingresados se deben de hacer al lado del servidor.

• Las propiedades Visible o Enabled no aseguran que el valor de las variables o atributos no sean modificados.

• No confiar en los registros cargados en las grillas.

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Como nos ayuda Genexus ?

• Encriptación de parámetros (SiteKey – SessionKey)

• Objeto WebSession

• En las transacciones, las reglas se ejecutan en el servidor y en el cliente

SEGURIDAD EN APLICACIONES WEB CON GENEXUS

Buenas Practicas

• Usar MD5 o SHAP1 para la encriptación de contraseñas (es un algoritmo de reducción criptográfico )

• Obligar al usuario usar contraseñas fuertes.

• Mantener un log de inicio de sesiones que el usuario pueda ver.

• Controlar los intentos de accesos.

HOSTEO DE APLICACIONES DISTRIBUIDAS.NET VS SQL SERVER

DEFINIR PROVEEDOR DE HOSTING

COMPRAR Y REGISTRAR DOMINIO

• Se debe comprar y registrar dominio el cual luego se registrara en la cuenta del proveedor de Servicio.

• Este proceso puede durar varios días.

CONFIGURAR HOSTING

• Se debe configurar Cuenta de Hosting

https://inception.my-hosting-panel.com:8443

• Se debe configurar Base de Datos.

http://mssql.inception.my-hosting-panel.com/mla2005/

INCONVENIENTES

• Hostear aplicaciones en IIS 7.0 o superior

• A partir de IIS 7 se cuenta con la propiedad Managed Pipeline Mode a nivel de Application Pool, cuyo valor puede ser:

1. Classic2. Integrated

Cuando su valor es Classic, el Application Pool de IIS 7.0 funciona de igual forma que IIS

6.0 con respecto a ASP.NET.

Cuando su valor es Integrated, el Application Pool funciona de acuerdo a la nueva implementación de IIS 7.0.