授予從一個網站到另一個網站的安全訪問

Question

我真的只是想從安全角度看下面的建議有多愚蠢。

我有兩個網站。一個是管理門戶，另一個是會員門戶。

在管理門戶中，管理員可以檢索成員列表，我需要爲管理員提供登錄到成員門戶的功能，而無需輸入成員登錄憑證。

兩者都是IIS內部的獨立網站，因此這個討論可以說它們位於不同的服務器上。

這兩個網站都訪問相同的SQL Server數據庫。

我在想管理員可以點擊「Login as Member」鏈接創建一個隨機代碼字符串並將其與成員編號一起保存到數據庫中。

我可以將代碼和成員編號作爲查詢字符串參數傳遞給成員門戶。

然後，成員門戶將讀取這些值並在數據庫中檢查它們以驗證代碼字符串是否存在以及是否與正在傳遞的成員編號匹配。然後，我可以登錄該成員並在數據庫中設置一個標誌，以將代碼設置爲正在使用，因此對於將來的請求無效。

我想繞過這個黑客需要成功猜測隨機代碼，並將其傳遞到該代碼旁邊的相應成員編號，並將該組合標記爲未使用的數據庫中。

這看起來似乎不太可能，因爲在生成的代碼和正在使用的代碼之間只經過了幾秒鐘。

如有必要，我可以隨時檢查請求的IP地址，因爲管理門戶的用戶都共享相同的固定IP地址。

那麼你認爲上述方法可以經得起安全審查的審查，還是需要走SSO路線？

Answer 1

您的方法非常合理。我可以證實，因爲我只是爲了這個原因而實施了這樣的解決方案。我們分析了選項和曝光。實施後，我們的申請通過了PCI Complaince Audit。

原因：

• SSL是Esential！防止嗅探器。必要。如果沒有加密，嗅探器可以檢測到您的GUID，並可以有一個窗口使用它）

• 正如託尼指出，的GUID實際上是不可猜測。

• Guid 標記到期應該在24小時內過期。

建議：

• 檢查，對IP是好的。但不要被它欺騙成一種安全感。任何人都可以在標頭中僞造IP 。爲了安全對XSS和CSRF使用AntiForgery tokens。

的防僞標記是用__RequestVerificationToken這幾乎是很難猜測爲您的GUID填充你的HTTPHeaders一個cookie。

• 考慮使用已建立的身份驗證框架，如.NET Identity 2和多租戶。

已建立的框架負擔加密您的密碼。 MS框架，如簡單會員和身份融入現代ASP.NET框架，給你的功能非常強大的基礎，依靠。

如果您使用的是像傳統ASP或.NET 2.0這樣的舊框架，那麼classic Membership Provider更合適。

如果要創建新的MVC利用實體框架 5個應用，我強烈建議使用標識2.1。

• 考慮多租戶。雖然您的解決方案沒有任何問題，但如果管理員和用戶共享成員資格提供程序，您的解決方案將更加清晰。管理員可以登錄主站點並從數據庫「獲取」令牌。然後沒有曝光。

Answer 2

假設爲管理員使用HTTPS和適當的物理和IT安全流程和程序，此方法應該足夠。它比大多數金融網站密碼重置更安全，通常只需要一個被盜用的電子郵件帳戶和一些個人信息來重置密碼。如果您也檢查始發客戶端請求的IP地址範圍，則黑客必須已經可以訪問您的系統或網絡。此外，如果您將代碼設置爲GUID，則（實際上）不可能有人猜測。

您可以通過在每次發生此事件（或至少每次因失敗密鑰而導致每次失敗時）在數據庫中存儲記錄來添加一層檢查黑客攻擊的嘗試，並且每次運行檢查時都會看到如果它發生得太頻繁（比如過去一小時100次，或者某個事情 - 正確的數字取決於你期望它發生的頻率）。如果發生頻率過高，請讓IT人員發送警報並進行恢復，以便用戶必須手動輸入憑據。

聲明：我不是任何安全專家，所以我會很樂意推遲聲稱這種狀態的任何人。由於缺乏答案，我在這裏沉重。