איך ניתן להסתיר את ה Web.Config ?

[ShlomoBenAri]

איך ניתן להסתיר את ה Web.Config ?

בספריה שונה מברירת המחדל אשמח לשמוע אם מישהו יודע בתודה שלמה

 

[yairov]

תגובה

הקובץ מוגן מפני קריאות HTTP על-ידי HttpModule וכן תוכל להצפין את המידע שבו. איזה סיבה יש לך להסתיר את ה-web.config?

 

[ShlomoBenAri]

סיבות

קיבצי web.config מכילים פרמטרים חשובים , שמות שרתים מסלולים ועוד כל מיני הגדרות שיכולים לחשוף מקורות נתונים, שאני מעוניין להסתיר דווקא מבעלי הרשאות גישה ל File System של ה IIS (תחזוקני סיסטם) נכון שמפני חטטנים מקצועיים יהיה לי קשה להסתיר אבל המידע לא יהיה מידי וזמין אשמח לשמוע רעיונות ודוגמאות תודה שלמה

 

[BogN]

אני במקומך הייתי חושב על משהו אחר..

לא תוכל כמו שאמרת, למנוע מהחטטנים לראות את המידע... אבל תעשה מה שעושים כששומרים שם משתמש וסיסמא בקובץ CONFIG (ואני מקווה שאתה עושה את זה...) שזה להצפין את הנתונים. לא חסרות דרכים להצפין את המידע הזה, ואין שום צורך להמציא את הגלגל מחדש... הנה לך חיפוש בגוגל, תהנה

http://www.google.com/search?hl=en&lr=&q=web.config+encrypt&btnG=Search נ.ב - המון המון המון זמן לא כתבתי פה...

 

[ShlomoBenAri]

ואיך אני מעדכן ערכים בקובץ מוצפן..

..בכדי להחליף ערכים של מפתחות בקובץ אני לא שומר משתמשים וססמאות כלל אלא נשען על הרשאות AD בלבד חשבתי שאפשר שה web.config ימצא בספריה שונה מהאפליקציה כך של IIS תהיה גישה לשם (באמצעות SystemUser או משתמש שהוגדר ב ApplicationPool) ולתחזוקנים שיש הרשאה ל WWWROOT לא תהיה גישה לweb.config אם יש רעיון בכוון הזה אשמח לשמוע תודה

 

[איפכא מיoתברא]

תשתמש בקובץ data.config

ותצפין אותו בעזרת הenterprise library. זה הפתרון שכל חברות האבטחה מקבלות בבדיקות שלהן...