De la Seguridad del acceso a datos en aplicaciones ASP ... - Willy .Net

Empresariales (COM+) que se ejecute bajo una identidad específica o bien se puede
escribir código que utilice la API LogonUser para llevar a cabo la suplantación.
El uso de componentes revisados fuera del proceso aumenta la seguridad ya que los
saltos de proceso dificultan la tarea del atacante, especialmente si los procesos se
ejecutan con identidades diferentes. La otra ventaja es que se puede aislar del resto
de la aplicación el código que requiera más privilegios.
Llamar a LogonUser y suplantar la identidad específica de
Windows
No debería llamar a LogonUser directamente desde ASP.NET. En Windows 2000,
esta opción requiere proporcionar al proceso ASP.NET la identidad "Actuar como
parte del sistema operativo".
Se prefiere la opción de llamar a LogonUser fuera del proceso ASP.NET mediante
un componente revisado en una aplicación de servidor de Servicios Empresariales,
tal y como se ha explicado anteriormente.
Utilizar la identidad del llamador original
Para que funcione, es necesario utilizar la delegación Kerberos y suplantar el
llamador en la base de datos, directamente desde ASP.NET o desde un componente
revisado.
Desde ASP.NET, agregue el siguiente código al archivo Web.config de la aplicación.
Desde un componente revisado, llame a CoImpersonateClient.
Utilizar la cuenta anónima de usuario de Internet
Como variación de la opción anterior, en los escenarios en los que la aplicación
utiliza la autenticación por formularios o de Passport (lo que implica la autenticación
anónima de IIS), puede habilitar la suplantación en el archivo Web.config de la
aplicación para poder utilizar la cuenta anónima de usuario de Internet para tener
acceso a la base de datos.
Con IIS configurado para la autenticación anónima, esta configuración provoca que
el código de la aplicación Web se ejecute con el testigo de suplantación del usuario
de Internet anónimo. En un entorno de alojamiento Web, tiene la ventaja de que
permite realizar por separado la auditoría y el seguimiento del acceso a la base de
datos desde varias aplicaciones Web.
Más información
Para obtener más información y detalles acerca de la implementación
utilizando la identidad del llamador original, consulte "Transmitir el llamador
original a la base de datos" en el capítulo 5, "Seguridad de intranet."
Para obtener más información acerca de cómo configurar IIS para utilizar la
cuenta de usuario anónimo, consulte el capítulo 8, "Seguridad de ASP.NET."
¿Cuándo no se puede utilizar la autenticación de Windows?
En determinados escenarios de aplicaciones no es posible utilizar la autenticación de
Windows. Por ejemplo:
El cliente y el servidor de la base de datos están separados por un servidor de
seguridad que no permite la autenticación de Windows.