analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
2 Crittografica: tutte le informazioni vengono crittografate utilizzando l’algoritmo
simmetrico Triple DES. In questo caso, oltre a impostare a “true” l’attributo
EnableViewStateMAC, si definisce il tipo di convalida machineKey a 3DES nel web.config:
In ogni caso è importante ricordare che, maggiore sarà il livello di protezione adottato, più
lungo sarà il tempo di elaborazione della pagina quindi, anche in questo caso, è necessario
utilizzare il ViewState con la dovuta cautela, ponderando sempre ogni singola scelta.
4.7.1 Il ViewState in Asp.NET 2.0
In Asp.NET 2.0, il meccanismo per il controllo e l’utilizzo della cifratura è stato espanso. I
settaggi di cifratura ora possono essere separatamente impostati per ogni pagina. Inoltre, i
controlli sulla pagina possono richiedere che la cifratura sia usata per il ViewState, ma anche
questa richiesta può essere “scavalcata” dai settaggi della pagina e quindi ignorata. Il tutto
grazie all’attributo ViewStateEncryptionMode che ha 3 valori: Auto che è quello di default,
Always, e Never.
• ViewStateEncryptionMode.Auto: in questo modo, Asp.NET cripterà il ViewState per
una pagina se un controllo nella pagina lo richiede.
• ViewStateEncryptionMode.Never: in questo modo Asp.NET non cripterà il
ViewState, anche se i controlli nella pagina l’hanno richiesto.
90