Sécuriser ses applications Web et réseaux

Mis à jour le 10/05/2005
Par Xavier Vanneste

Sécurisé ses applications Web et réseaux

Introduction

Les erreurs à ne pas commettre

Ce qu'on se dit:
-Ca m'arrivera jamais?
Ben si justement ça arrive à tout le monde pas aux autres plus qu'à vous
-Qui fait ça?
Les hackers, les scripts kiddies, les pirates informatiques bref y a plein de monde qui le fait. Ce n'est pas parce qu'on ne le fait pas que personne ne le fait.
-Pour qu'ils y arrivent faudrait que ça soient des génies?
Ce n'est pas parce que quelque chose nous semble impossible que ça l'est. Une personne qui a une bonne expérience en sécurité prouve facilement que des fois c'est très simple
-Mon réseaux me protégera
Une forteresse aux portes de verre voila à quoi vous vous exposez. Un réseau qui est pénétré par une faille dans votre développement.
-On n'a pas les outils qui nous permettent de nous protéger
Un mauvaise ouvrier n'a que de mauvais outils comme me disait mon père. Le meilleur outil pour la sécurité c'est votre tête. Des outils comme NUNIT doivent être paramétré pour fonctionner et avant de les paramétrer il faut savoir quoi mettre.

La façon dont on sécurise:
Beaucoup de personnes sécurisent de haut en bas, c'est à dire qu'elles sécurisent d'abord l'UI puis si elles arrivent encore à passer elles sécurisent les composants et enfin la base de données.
Le problème de cette façon de sécurisé c'est qu'on ne sécurise un niveau inférieur que si on arrive à passer un niveau supérieur. Mais la question qui se pose est: "si vous n'arrivez pas à passer l'UI est ce que ça veut dire que personne ne sera la passer?"
Voici le schéma utilisé:

Il est clair maintenant que la façon de sécurisé doit être inversé, sécuriser d'abord la base de données puis les composants et enfin l'interface utilisateur. Ainsi vous aurez une bonne vision de ce qui est faisable sur votre application quelque soit le niveau ou l'attaquant arrive.

Les grands principes

• Sécuriser par design
La sécurité doit faire partie dés la conception, cela doit être vu comme une fonctionnalité de l'application pas une valeur ajoutée. La conception de la sécurité doit se retrouver à tous les niveaux de votre application de la base de données à l'interface utilisateur.
Le fait d'identifier les attaques possibles dés la conception permet de préparer les tests qu'il faudra effectuer sur l'application ainsi que de concevoir dés le départ les parades possibles à chaque attaque


• Sécuriser par défaut
La plupart des personnes, lorsqu'elles installent un logiciel font le fameux SUIVANT/SUIVANT..../TERMINER, et ce sans se poser la moindre question. Elles font confiance au logiciel d'installation, et ne lisent même pas la notice livrée avec le logiciel. Résultat, il y a quelques années Code Rouge a fait des ravages en se propageant à grande vitesse. Code rouge était un vers qui utiliser une faille de IIS pour faire un buffer overflow (voir annexe). A cette époque IIS, le serveur web de Windows, était proposé par défaut dans l'installation. Comme tout le monde prend les paramètres par défaut tous ceux qui avaient IIS se trouvèrent infecté par Code Rouge. Il est donc important de réduire la surface d'attaque et de proposer le minimum de fonctionnalité nécessaire à l'application pour fonctionner, afin d'éviter d'installer des fonctionnalités qui pourraient cacher des failles potentielles.
Il faut aussi faire attention à réduire les risques sur les fonctionnalités installées. Prenons un autres exemple SQLWorn est un vers qui pénètre les serveurs SQL sur le port d'administration. Dans les paramètres par défaut, le port d'administration est fixe. Donc sqlworn scrute les adresses IP sur le port d'administration qu'il connaît. Comme tout le monde installe par défaut tous ceux qui avaient laissés le port d'administration par défaut se sont retrouvés infesté. Ceux qui avaient eu la bonne idée de changer ce port n'ont pas été touchés par le vers. Mais l'installation aurait du créer un port d'administration de manière aléatoire comme ça SQLWorn aurait non seulement du scruter les adresses IP mais aussi tous les ports qui existent soit plus de 65000. Sa propagation aurait été moins rapide.
La sécurisation par défaut nécessite une bonne étude de l'application et une bonne documentation pour l'utilisateur. Qui la lira comme d'habitude une fois l'application installée ;-) mais il faut lui laisser la possibilité de pouvoir revenir en arrière et enlevé facilement des fonctionnalités dont il n'a pas besoin


• Sécuriser par déploiement
Voila notre application déployée chez les clients il faut maintenant pouvoir la maintenir, c'est à dire avoir la possibilité de réparer facilement les bugs et les failles de sécurité à l'aide de patch. Il faut aussi que cette procédure ne soit pas trop compliquée pour l'utilisateur. Avec Click Once sous visual studio 2005 les choses seront grandement facilitées


• Sécuriser; par communication
A quoi ça sert d'avoir trouvé une faille de l'avoir corrigée et d'avoir mis un patch en ligne si personne ne le sait? La sécurité par la communication passe par là. Il faut faire suivre l'information et la propager.

Prenons un exemple une injection de code sql sur un système pas du tout sécurisé:

L'impact sur le site est conséquent.

Prenons l'exemple du Cross Site Scripting

L'impact sur le site est moindre

Présentation du site à sécuriser

Les failles

private void btnOk_Click(object sender, System.EventArgs e)
{
_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXString"));
_objSqlCnx.Open();
_objSqlCmd=new SqlCommand("select count(*) from utilisateurs where Login='" + txtLogin.Text +"' and mdp='" + txtPassword.Text + "'",_objSqlCnx);
int _count=(int) _objSqlCmd.ExecuteScalar();
if(_count>0)
{
System.Web.Security.FormsAuthentication.RedirectFromLoginPage(txtLogin.Text,false);
CUser objUser=(CUser) Session["objUser"];
objUser.Login=txtLogin.Text;
}
}

 _objSqlCmd=new SqlCommand("select count(*) from utilisateurs where Login='" + txtLogin.Text +"' and mdp='" + txtPassword.Text + "'",_objSqlCnx);

<%@ Page language="c#" Codebehind="GuestBook.aspx.cs" ValidateRequest="false" AutoEventWireup="false" Inherits="NonSecure.GuestBook" %>

private void btnAdd_Click(object sender, System.EventArgs e)
{
	_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXString"));
	_objSqlCnx.Open();
	_objSqlCmd=new SqlCommand("insert into guestbook(IDUser,contenu) values (" + _objUser.IDUser + ",'"+ txtGuestContent.Text + "')",_objSqlCnx);
	_objSqlCmd.ExecuteNonQuery();						
	objdadata.Fill(monDS1);
	DataList1.DataBind();
}

<script language="javascript">
document.location.href="http://www.sex.com";
</script>

private void btnOK_Click(object sender, System.EventArgs e)
{
	if(!File.Exists(_objUser.Chemin +"\\" + txtOther.Text))
	{
		StreamWriter objWriter=File.CreateText(_objUser.Chemin +"\\" + txtOther.Text);
		objWriter.Flush();
		objWriter.Close();
		ddlFile.DataSource=_objUser.Fichiers;
		ddlFile.DataBind();
		ddlFile.Items.Insert(0,"Nom du fichier");
		ddlFile.Items.FindByText(txtOther.Text).Selected=true;
	}
	else
	{
		StreamReader objStream= new StreamReader(_objUser.Chemin +"\\" + txtOther.Text);
		txtContent.Text =objStream.ReadToEnd();
		objStream.Close();
	}
}

protected void Session_Start(Object sender, EventArgs e)
{
	CUser objUser= new CUser();
	Session["objUser"]=objUser;
}

<appSettings>
	<add key="sqlCNXString" value="Data Source=SPARTNER01XP;initial catalog=NonSecureDB;user id=sa; pwd="/>
</appSettings>

<appSettings>
	<add key="sqlCNXString" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=sa; pwd="/>
	<add key="sqlCNXStringReadOnly" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=ReadOnlyUser; pwd=LectureSeule"/>
</appSettings>

_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringReadOnly"));

private void btnOk_Click(object sender, System.EventArgs e)
{
	_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringReadOnly"));
	_objSqlCnx.Open();
	_objSqlCmd=new SqlCommand("select Mdp from utilisateurs where Login=@Login",_objSqlCnx);
	_objSqlCmd.Parameters.Add("@Login",SqlDbType.VarChar);
	_objSqlCmd.Parameters["@Login"].Value=txtLogin.Text;
	string _Mdp=(string) _objSqlCmd.ExecuteScalar();
	if(_Mdp==txtPassword.Text)
	{
		System.Web.Security.FormsAuthentication.RedirectFromLoginPage(txtLogin.Text,false);
		CUser objUser=(CUser) Session["objUser"];
		objUser.Login=txtLogin.Text;
	}
}

<asp:RegularExpressionValidator id="RegularExpressionValidator2" runat="server" 
		ErrorMessage="Chiffre ou lettre uniquement pour le mot de passe"
 Display="Dynamic" ControlToValidate="txtPassword" ValidationExpression="\w+"/>

<asp:RegularExpressionValidator id="RegularExpressionValidator1" runat="server" 
		ErrorMessage="Chiffre ou lettre uniquement pour le login"
	Display="Dynamic" ControlToValidate="txtLogin" ValidationExpression="\w+"/>

private void btnOk_Click(object sender, System.EventArgs e)
{
if(Page.IsValid)
	{
		_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringReadOnly"));
		_objSqlCnx.Open();
		_objSqlCmd=new SqlCommand("select Mdp from utilisateurs where Login=@Login",_objSqlCnx);
		_objSqlCmd.Parameters.Add("@Login",SqlDbType.VarChar);
		_objSqlCmd.Parameters["@Login"].Value=txtLogin.Text;
		string _Mdp=(string) _objSqlCmd.ExecuteScalar();
		if(_Mdp==txtPassword.Text)
		{
			System.Web.Security.FormsAuthentication.RedirectFromLoginPage(txtLogin.Text,false);
			CUser objUser=(CUser) Session["objUser"];
			objUser.Login=txtLogin.Text;
		}
	}
}

<appSettings>
	<add key="sqlCNXString" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=sa; pwd="/>
	<add key="sqlCNXStringReadOnly" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=ReadOnlyUser; pwd=LectureSeule"/>
	<add key="sqlCNXStringWriteOnly" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=WriteOnlyUser; pwd=EcritureSeule"/>
</appSettings>

this.objcndata.ConnectionString = ((string)(configurationAppSettings.GetValue("sqlCNXStringReadOnly", typeof(string))));

_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringWriteOnly"));

private void btnAdd_Click(object sender, System.EventArgs e)
{
	_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringWriteOnly"));
	_objSqlCnx.Open();
	_objSqlCmd=new SqlCommand("insert into guestbook(IDUser,contenu) values (@IDUser,@Contenu)",_objSqlCnx);
	_objSqlCmd.Parameters.Add("@IDUser",SqlDbType.Int);
	_objSqlCmd.Parameters.Add("@Contenu",SqlDbType.VarChar);
	_objSqlCmd.Parameters["@IDUser"].Value=_objUser.IDUser;
	_objSqlCmd.Parameters["@Contenu"].Value=txtGuestContent.Text;
	_objSqlCmd.ExecuteNonQuery();						
	objdadata.Fill(monDS1);
	DataList1.DataBind();		
}

private void btnAdd_Click(object sender, System.EventArgs e)
{
	_objSqlCnx=new SqlConnection(ConfigurationSettings.AppSettings.Get("sqlCNXStringWriteOnly"));
	_objSqlCnx.Open();
	string[] _tblStrHtml=txtGuestContent.Text.Replace("<","#<").Replace(">",">#").Split('#');
	ArrayList objArrLst=new ArrayList(_tblStrHtml);
	foreach(string str in _tblStrHtml)
	{
		string strTemp=str.ToLower();
		if(strTemp.IndexOf("<")>=0)
			if(!(System.Text.RegularExpressions.Regex.Match(strTemp,"(?:</?(?:i|b|p|br|em|pre|table|td|tr){1}>)").Success))
				objArrLst.Remove(str);			
	}
	_tblStrHtml=(string[])objArrLst.ToArray(typeof(string));
	_objSqlCmd=new SqlCommand("insert into guestbook(IDUser,contenu) values (@IDUser,@Contenu)",_objSqlCnx);
	_objSqlCmd.Parameters.Add("@IDUser",SqlDbType.Int);
	_objSqlCmd.Parameters.Add("@Contenu",SqlDbType.VarChar);
	_objSqlCmd.Parameters["@IDUser"].Value=_objUser.IDUser;
	_objSqlCmd.Parameters["@Contenu"].Value=String.Join("",_tblStrHtml);
	_objSqlCmd.ExecuteNonQuery();						
	objdadata.Fill(monDS1);
	DataList1.DataBind();		
}

static void Main(string[] args)
{
	//
	// TODO: Add code to start application here
	//
	XmlDocument objDom=new XmlDocument();
	objDom.Load(args[0]);
	XmlNode objNode=objDom.DocumentElement.SelectSingleNode("//appSettings");
	DPAPI objApi=new DPAPI(DPAPI.Store.USE_MACHINE_STORE);
	ASCIIEncoding objEncoding=new ASCIIEncoding();
	string strEncrypter="";
	foreach(XmlNode objNodeChild in objNode.ChildNodes)
	{
		if(objNodeChild.Name=="add" && objNodeChild.Attributes["key"].Value==args[1])
			strEncrypter=objNodeChild.Attributes["value"].Value=Convert.ToBase64String
(objApi.Encrypt(objEncoding.GetBytes(objNodeChild.Attributes["value"].Value),null));
	}
	objDom.Save(args[0].Replace(".config","Enc.config"));
	return;
}

<appSettings>
	<add key="sqlCNXString" value="Data Source=SPARTNER01XP;initial catalog=SecureDB;user id=sa; pwd="/>
	<add key="sqlCNXStringReadOnly" value="AQAAANCMnd8BFdERjHoAwE/Cl~..~6FAAAAID91L7d5Pf6LE7ocK/Ae8V+ZQoR"/>
<add key="sqlCNXStringWriteOnly" value="AQAAANCMnd8BFdERjHoAwE/Cl~..~4AFAAAAFSk+FSwZvb9I9DI3uJzXXwn1fQq"/>
</appSettings>

DPAPI objApi=new DPAPI(DPAPI.Store.USE_MACHINE_STORE);
ASCIIEncoding objEncoding=new ASCIIEncoding();
string cnxDecrypt=objEncoding.GetString(objApi.Decrypt(Convert.FromBase64String
(ConfigurationSettings.AppSettings.Get("sqlCNXStringReadOnly")),null));
_objSqlCnx=new SqlConnection(cnxDecrypt);

private void btnOK_Click(object sender, System.EventArgs e)
{
	if(!File.Exists(_objUser.Chemin +"\\" + txtOther.Text))
	{
		StreamWriter objWriter=File.CreateText(_objUser.Chemin +"\\" + txtOther.Text);
		objWriter.Flush();
		objWriter.Close();
		ddlFile.DataSource=_objUser.Fichiers;
		ddlFile.DataBind();
		ddlFile.Items.Insert(0,"Nom du fichier");
		ddlFile.Items.FindByText(txtOther.Text).Selected=true;
	}
	else
	{
		StreamReader objStream= new StreamReader(_objUser.Chemin +"\\" + txtOther.Text);
		txtContent.Text =objStream.ReadToEnd();
		objStream.Close();
	}
}

private void btnOK_Click(object sender, System.EventArgs e)
{
	if(!File.Exists(_objUser.Chemin +"\\" + txtOther.Text))
	{
		StreamWriter objWriter=File.CreateText(_objUser.Chemin +"\\" + txtOther.Text);
		objWriter.Flush();
		objWriter.Close();
		ddlFile.DataSource=_objUser.Fichiers;
		ddlFile.DataBind();
		ddlFile.Items.Insert(0,"Nom du fichier");
		ddlFile.Items.FindByText(txtOther.Text).Selected=true;
	}
	else
	{
		PermissionSet per=new PermissionSet(PermissionState.None);
		FileIOPermission objPer=new FileIOPermission(FileIOPermissionAccess.NoAccess,Server.MapPath("."));
		objPer.AddPathList(FileIOPermissionAccess.AllAccess,_objUser.Chemin);
		per.AddPermission(objPer);
		per.PermitOnly();
		StreamReader objStream= new StreamReader(_objUser.Chemin +"\\" + txtOther.Text);
		txtContent.Text =objStream.ReadToEnd();
		objStream.Close();
	}
}

private void btnOK_Click(object sender, System.EventArgs e)
{
	if(!File.Exists(_objUser.Chemin +"\\" + txtOther.Text))
	{
		StreamWriter objWriter=File.CreateText(_objUser.Chemin +"\\" + txtOther.Text);
		objWriter.Flush();
		objWriter.Close();
		ddlFile.DataSource=_objUser.Fichiers;
		ddlFile.DataBind();
		ddlFile.Items.Insert(0,"Nom du fichier");
		ddlFile.Items.FindByText(txtOther.Text).Selected=true;
	}
	else
	{
		PermissionSet per=new PermissionSet(PermissionState.None);
		FileIOPermission objPer=new FileIOPermission(FileIOPermissionAccess.NoAccess,Server.MapPath("."));
		objPer.AddPathList(FileIOPermissionAccess.AllAccess,_objUser.Chemin);
		per.AddPermission(objPer);
		per.PermitOnly();
		string strFilePath=Path.GetFullPath(_objUser.Chemin +"\\" + txtOther.Text);
		StreamReader objStream;
		if(strFilePath.StartsWith(_objUser.Chemin ))
			objStream= new StreamReader(strFilePath);
		else
			return;
		txtContent.Text =objStream.ReadToEnd();
		objStream.Close();
	}
}

<asp:RegularExpressionValidator id="RegularExpressionValidator2" runat="server" ValidationExpression="\w{2,}.{0,1}\w{3,4}" 
		ControlToValidate="txtOther" ErrorMessage="Nom de fichier non valid"/>

private void btnOK_Click(object sender, System.EventArgs e)
{
	if(!Page.IsValid)
		return;

<location path="file.aspx">
	<system.web>
		<httpRuntime maxRequestLength="2048"/>
	</system.web>
</location>

private void btnFileUpload_Click(object sender, System.EventArgs e)
{
	if(!Page.IsValid)
		return;
	if(fileUpload.PostedFile !=null && fileUpload.PostedFile.ContentLength>0)
	{
		StreamWriter objWrite=new StreamWriter(_objUser.Chemin +"\\" +new
 FileInfo(fileUpload.PostedFile.FileName).Name,false,new System.Text.UTF8Encoding());
		objWrite.Write(new StreamReader(fileUpload.PostedFile.InputStream).ReadToEnd());
	}
	ddlFile.DataSource=_objUser.Fichiers;
	ddlFile.DataBind();
	ddlFile.Items.Insert(0,"Nom du fichier");
}

	if(_Mdp==txtPassword.Text)
	{
		System.Web.Security.FormsAuthentication.RedirectFromLoginPage(txtLogin.Text,false);
		CUser objUser=new CUser(txtLogin.Text);
		Session["objUser"]=objUser;					
	}

On retire le code qu'il y a dans le session Start et voilà on a une meilleur gestion de la mémoire.

La page Information.htm
Pour que la page Information.html nécessite une autentification quand on la demande il faut qu'elle soit soumise à l'isapi d'asp.net et que ça ne soit plus IIS qui la gére.
Pour cela on va aller dans la console d'administration de IIS et on va ajouter l'extension HTML à la liste des extensions de l'isapi ASP.NET.
Allons donc dans les outils d'administration, gestionnaire de service internet. La on ouvre les propriétés de notre répertoire virtuel. Dans l'onglet Directory on clique sur le bouton Configuration.

Dans cette page on ajoute une extension d'application avec l'extension HTM qui pointe sur l'exécutable C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_isapi.dll évidemment à changer suivant votre configuration.
Et voilà la page est protégée par ASP.Net. La personne devra se loguer pour pouvoir voir les informations de la page information.htm. On aurait pu aussi changer l'extension de la page en .ASPX mais ça aurait été trop facile ;-)

Les fichiers TXT
Le principe des fichiers TXT est le même que celui de la page information.htm mais avec quelque petite chose en plus.
Commençons par ajouter l'extension txt au moteur ASP.NET comme on a fait avec la page Information.
Maintenant les fichiers TXT sont protégés par mot de passe. Le probléme c'est que ce n'est pas ce qu'on souhaite. Ce qu'on veut c'est qu'il soit tout simplement inaccessible.
Pour cela on va ajouter une section dans le fichier Web.config qui interdira les fichiers txt.

<httpHandlers>
      <add verb="*" path="*.txt" type="System.Web.HttpForbiddenHandler" />
</httpHandlers>

    <webServices>
      <soapExtensionTypes>
        <add type="Microsoft.Web.Services2.WebServicesExtension, Microsoft.Web.Services2, Version=2.0.0.0, Culture=neutral,
PublicKeyToken=31bf3856ad364e35" priority="1" group="0" />
      </soapExtensionTypes>
    </webServices>
ET
<configSections>
    <section name="microsoft.web.services2" 
			type
="Microsoft.Web.Services2.
Configuration.WebServicesConfiguration, 

Microsoft.Web.Services2, Version=2.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35"/>

  </configSections>

		public CUser GetUserByLogin(string Login)
		{
			string Username = string.Empty;
			string Password = string.Empty;
			SoapContext MysoapContext =SoapContext.Current;
			foreach(SecurityToken Mytok in MysoapContext.Security.Tokens)
			{
				if (Mytok is UsernameToken)
				{
					Username = ((UsernameToken)Mytok).Username;
					Password=((UsernameToken)Mytok).Password;
					break;
				}
			}
			
			if (Username == string.Empty)
				throw new Exception("No username");
			if(!(Username=="User" && Password=="Pwd"))
			{
				throw new Exception("Invalid credential");
			}
			return new CUser(Login);
		}

Les techniques de défenses Le Code Access Sécurity
Le CAS permet aux développeurs et aux administrateurs de mettre en place un controle d'accés aux ressources du code managé. Cette sécurité passe par un ensemble de sous technologie que sont l'evidence, les security policy et les code group
Evidence
L'evidence permet d'identifier l'assembly et de savoir d'ou elle provient afin de lui affecter une security policy. Les information inclus dans l'evidence sont: Son strong name, l'url ou unc d'ou provient l'assembly, le site, la zone de sécurité ou elle se trouve (internet, intranet, ou systeme de fichier local) et l'éditeur de l'assembly.
Ainsi suivant les zones de confiances une security policy lui sera appliquée lui donnant ou non accés a des ressources sur la machine.
Security policy
Suivant l'evidence de l'assembly une des politique de sécurité est applique a l'assembly:
-Nothing (l'assembly vient d'une zone sensible et pas du tout sur, elle n'a aucun droit sur la machine)
-Execution (l'assembly a juste le droit de s'exécuter mais aucun accés a des ressources sensibles)
-Internet (l'assembly a les même droits que les pages web)
-LocalIntranet (l'assembly a le droit d'execute, de créer des interfaces utilisateurs, d'utiliser les stockages isolés de l'utilisateurs "dans document and settings", de lire le nom de l'utilisateur et les répertoire temporaire.
-Everything (l'assembly a accés a tout excepter le droit de passer outre la verification)
-FullTrust (accés à tout)
Code group
Les groupes de code sont la pour faciliter l'administration et rassembler de maniére logique du code dans des groupes sur lequel on a déjà mis des régles de sécurité.
Voici des exemples de code group:
-Le répertoire de l'application
-l'éditeur de l'assembly
-L'url de provenance de l'assembly
-La zone de sécurité
Security policy level
Les niveaux de sécurité sont les suivants:
-Entreprise: L'administrateur de l'entreprise définit une sécurité qui s'appliquera à toute la société.
-Machine: securité au niveau de l'ordinateur
-User: sécurité utilisateur
-Application Domain: La seul partie non administrable qui determine la sécurité au niveau de l'application

Pour configurer la sécurité au niveau de l'administration de la machine il existe deux outils, mscorcfg.msc qui se trouve dans les outils d'administration et CasPol qui est un outil en ligne de commande.

Voila la sécurité au niveau du remoting et des webservice ainsi que l'utilisation des outils de configuration sera développé dans la partie 4 de l'article.

VANNESTE Xavier