¡GoConqr estrena diseño! Cuéntanos qué te parece.

Regístrate gratis

Fichas

Módulo 4

Selim Nazar Programacion Segura Inglés 62 fichas

Fichas del conjunto (62)

  1. 1¿Qué es la autenticación?Es el proceso de identificar la identidad de un usuario por medio de credenciales.
  2. 2¿Qué es la autorización?Es el proceso de dar derechos específicos a un usuario autenticado para ejecutar tareas específicas.
  3. 3¿En qué consiste la amenaza Account hijacking?Acceder a la cuenta de un usuario legítimo al robar o adivinar sus credenciales.
  4. 4¿En qué consiste la amenaza Man-in-the-middle?Consiste en interceptar el tráfico de red para leer o modificar la data durante la transmisión.
  5. 5¿En qué consiste la amenaza Phishing?Consiste en engañar al usuario para que ingrese sus credenciales en un sitio falso que luce como un sitio legítimo.
  6. 6¿En qué consiste la amenaza Sniffing?Consiste en interceptar passwords o data confidencial que viaja a través de la red.
  7. 7¿Donde se mantiene la configuración del IIS y de aplicaciones ASP.Net?Se mantienen en la metabase del IIS y en archivos web.config respectivamente.
  8. 8¿Cómo sucede el proceso de autenticación entre el IIS y ASP .NET?1. El IIS revisa la IP del usuario y decide si lo puede dejar entrar.
    2. Si está configurado para ello, el IIS realiza su propia autenticación.
    3. El IIS pasa la solicitud a ASP .NET.
    4. ASP .NET realiza la autenticación que tiene designada.
  9. 9¿Cúales son los niveles de Autenticación que ofrece el framework de .NET?1. Autenticación de ASP .NET
    2. Autenticacion de Servicios Enterprise
    3. Autenticación de SQL Server
  10. 10¿Cúales son las capas por las que pasa la autenticación ASP .NET?Primero pasa por la capa del IIS, luego pasa por la capa de ASP .NET.
    La capa del IIS puede decidir denegar el acceso al usuario antes de pasar la solicitud a la capa de ASP .NET.
  11. 11¿Cúales son los los modos de autenticación del IIS?• Anonymous
    • Basic
    • Digest
    • Integrada de Windows
    • Certificate Mapping
  12. 12¿Cúales son los modos de autenticación de ASP .NET?• None (Custom)
    • Forms
    • Windows
    • Passport
  13. 13¿En qué consiste la autenticación de ASP .NET Forms?Se recolectan las credenciales del usuario por medio de un formulario y luego se implementa lógica personalizada para autenticar el usuario.
  14. 14¿Qué tipo de autenticación debe configurarse en el IIS para utilizar la autenticación Forms de ASP .NET?Anonymous
  15. 15¿En qué consiste la autenticación Passport de ASP .NET?Esta autenticación utiliza el servicio Passport de Microsoft, el cual gestiona cuentas de usuario en la nube.
  16. 16¿Por qué elegiría utilizar la autenticación Passport de ASP .NET?• El administrador detecta una situación en donde se requiera mecanismo de sign-on.
    • Las credenciales del usuario no se configuran para login o acceso a BD.
    • Los usuarios están dispuestos a proveer contenido personalizado.
    • El sitio se usa en conjunto con otros sitios que usa autenticación Passport.
  17. 17¿Cómo se implementa la autenticación Passport de ASP .NET?• Se instala Passport SDK en un servidor.
    • Se registra con el servidor Microsoft Passport.
    • Se configura el IIS en autenticacion Anonymous.
    • Se configura el sitio web en autenticacion Passport.
  18. 18¿En qué consiste la autenticación None (Custom) de ASP .NET?Es un tipo de autenticación personalizada, comúnmente autentica contra credenciales almacenadas en una base de datos.
  19. 19¿En qué consiste la autenticación Windows de ASP .NET?Es el tipo de autenticación que autentica el usuario con una identidad de Windows. En este caso, la autenticación la hace el IIS quien pasa un Windows Access Token al sitio ASP .NET.
  20. 20¿Cuáles son las caracteristicas de la Basic Authentication?• Las credenciales se transmiten en texto plano.
    • Solo se deben usar en un canal seguro.
    • Se debe usar con autenticación Windows en ASP .NET.
  21. 21¿Cuáles son las características de la Digest Authentication?• En lugar de las credenciales, se transmite el HASH de éstas.
    • Es mas segura que la autenticación Basic.
    • Se debe usar con autenticación Windows en ASP .NET.
  22. 22¿Cuáles son las características de la Integrated Windows Authentication?• Usa criptografía para para encriptar las credenciales que son enviadas al servidor.
    • Se usa los protocolos Kerberos o NTLM para autenticar el usuario.
  23. 23¿Cuáles son las características de la Certificate Authentication?• Requiere de certificados de cliente para probar la identidad del usuario.
    • Este certificado esta mapeado con un usuario de Windows.
  24. 24¿Cuáles son las características de la Anonymous Authentication?Cualquiera puede ingresar al sitio ASP .NET ya que el IIS no realiza ninguna autenticación.
  25. 25¿En qué consiste la Enterprise Services Authentication?• Se realiza con el Remote Procedure Call (RPC) que usa la API Security Service Provider Interface (SSPI).
    • Los usuarios se autentican con Kerberos o NTLM.
  26. 26¿En qué consiste la autenticación SQL Server?Es cuando se autentica un usuario a una BD SQL Server utilizando Windows Authentication o el esquema propio SQL Authentication.
  27. 27¿Cuáles son los modos de la autenticación SQL Server?• Mixed: mezcla SQL authentication y Windows authentication.
    • Windows: solo usa Windows authentication.
  28. 28¿Qué niveles de autorización provee el framework de .Net?• ASP .NET Authorization
    • Enterprise Services Authorization
    • SQL Server Authrozation
  29. 29¿Qué representa el objeto Identity?Representa los detalles del usuario
  30. 30¿Qué representan los roles?Representan los privilegios asignados al usuario. Estos se pueden acceder por medio del objeto Principal.
  31. 31¿Qué opciones de autorización ofrece ASP .NET?• URL Authorization
    • File Authorization
    • Code Based Authorization
    • .NET Roles Authorization
  32. 32¿Qué es la autorización por URL en ASP .NET ?Este tipo de autorización se declara en el archivo web.config, por medio del tag . Permite otorgar o denegar permisos a usuarios o roles. Estos permisos se pueden definir a nivel de carpeta o a nivel de archivo.
  33. 33¿Qué es el File Authorization en ASP .NET?Este tipo de autorización se hace a nivel del sistema de archivos y se hace por medio de permisos NTFS.
    Se debe poner atención en caso que la aplicación utilice Impersonation.
  34. 34¿Qué sucede cuando se activa el Impersonation?• Activo: El aplicativo se ejecuta con identidad del usuario que accedio a la misma
    • Inactivo: El aplicativo se ejecuta con la Local System Account.
  35. 35¿Qué impacto tiene el Impersonation con el File Authorization de ASP .NET?Afectará el hecho de si se otorgarán permisos para el usuario genérico de IIS, o al usuario real que accederá a la aplicación.
  36. 36¿Cuál es la diferencia entre Impersonation y Delegation?El impersonation solo permite acceder a recursos dentro de la máquina en que se ejecuta la aplicación. El Delegation permite acceder a recursos fuera de esa máquina.
  37. 37¿Qué es la Code-based Authorization?Es la autorización que se declara directamente en el código fuente. Permite un control mas granular para la seguridad.
  38. 38¿Cuáles son los modos de la Code-based Authorization?• Declarativa
    • Imperativa
    • Explicita
  39. 39¿Cómo funciona la autorización declarativa en Code-based Authorization?Se hace implementando demandas de permisos en la metadata de los métodos o la clase a proteger. Estas demandas se hacen en base a los roles del usuario.
  40. 40¿Cómo funciona la autorización imperativa en Code-based Authorization?Funciona creando demandas a permisos. Estas demandas se hacen en base a los roles del usuario.
  41. 41¿Cómo funciona la autorización explicita en Code-based Authorization?Es el tipo de autorización realizada consultando la función IsInRole del objeto Principal.
  42. 42¿En qué consiste la autorización usando Roles ASP .NET?Es un método de gestión de usuarios y roles los cuales son almacenados en una base de datos SQL Express. Esta base de datos es gestionada por medio de una Administration Tool ofrecida por ASP .NET.
  43. 43¿En qué consiste la Enterprise Services Authorization?Es autorización realizada por medio de roles de Enterprise Services (COM+).
    El role membership es administrador por medio de la Component Services Tool.
  44. 44¿En qué consiste la autorización SQL Server?Consiste en otorgar permisos a objetos de una BD. SQL Server permite otorgar permisos de grano fino para objetos de la BD.
  45. 45¿Cuáles son los tipos de roles soportados por SQL Server?• User-defined Database Roles
    • Application Roles
    • Fixed Database Roles
  46. 46¿En qué consisten los User-defined Database Roles (en SQL Server Authorization?Son grupos que engloban usuarios. Se pueden añadir usuarios o grupos de Windows a estos roles. Son usados para dar permisos a objetos individuales de la BD.
  47. 47¿En qué consisten los Application Roles (en SQL Server Authorization)?Un rol de aplicación es un Principal de BD, al cual se asignan diferentes tipos de permisos. Este rol no posee ningún miembro. El modo de activarlos es por medio de la función sp_setapprole, la cual solicita una contraseña. Cuando se activa funciona a modo de Impersonate, dejando vigentes los permisos del Application Role.
  48. 48¿En qué consisten los Fixed Database Roles?Son roles fijos existenes en la base de datos. Incluyen
    db_datareader
    db_datawriter
  49. 49¿De qué manera se protege el Form Authentication Ticket?Se hace en el web.config
  50. 50¿Cómo se define el método de hashing y encriptación del Form Authentication Ticket?
  51. 51¿Qué efecto tiene el siguiente codigo?Causa que el ticket de autenticación solo puede viajar por el canal seguro, protegiéndolo de tampering o robo.
  52. 52¿Qué se controla en la siguiente propiedad del web.config?Indica la manera en que se manejará el id de sesión. Tiene que estar en "UseCookies" para que estos no se manejen en la URL.
  53. 53¿Qué se controla en la siguiente propiedad del web.config?Controla el modo en que funciona el timeout de la sesión del usuario. Si es true, el timeout se reinicia con cada request al servidor. Si es false, entonces la sesión durara un tiempo fijo de tiempo, sin importar si el usuario esté enviando o no requests.
  54. 54¿Qué sucede cuando desactiva la propiedad Remember Me del control de Login de ASP?Se desactivan los cookies persistentes, los cuales son almacenados en el navegador del usuario y pueden ser robados por un atacante al obtener acceso físico a la máquina.
  55. 55¿De qué manera se puede desactivar la propiedad RememberMe?• En el control asp:Login, con la propiedad DisplayRememberMe.
    • Los siguientes métodos tienen un parámetro que debe ser FALSE:
    - RedirectFromLoginPage
    - SetAuthCookie
    - GetRedirectURL
    - FormsAuthenticationTicket (constructor)
  56. 56¿Qué controlan las siguientes propiedades del web.config? maxInvalidPasswordAttempts passwordAttemptWindowmaxInvalidPasswordAttempts: La cantidad de intentos fallidos de password antes de que se bloquee la cuenta.
    passwordAttemptWindow: minutos que deben transcurrir entre intentos fallidos para que no se incremente el contador de intentos fallidos.
  57. 57¿Por qué se debe utilizar una ruta absoluta al hacer un redirect a la página de login.aspx?Para evitar redirigir al usuario a un área restringida. Por ejemplo, a otra pagina login.aspx para otro tipo de usuarios.
  58. 58¿Por qué no se debe utilizar un server.transfer() en lugar de un response.redirect()?Server.transfer() ocurre en el servidor, o sea que el servidor no valida los permisos del usuario para la nueva pagina (a menos que estén explícitos en código). Response.Redirect redirige al usuario por medio de javascript, lo que provoca la verificación completa normal de los permisos.
  59. 59Enumere algunas recomendaciones al momento de utilizar Forms Authentication• No persista las cookies
    • Utilice SSL para proteger el cookie de autenticación.
    • Utilice el atributo httpOnlyCookies.
    • Divida el sitio en zonas publicas y privadas.
  60. 60Enumere algunas recomiendaciones para autenticación y autorización• Muestre un mensaje genérico cuando un usuario ingrese credenciales inválidas.
    • No se debe utilizar el aplicativo con cuentas root o Admin.
    • Asegúrese que las contraseñas almacenadas estén encriptadas/hashed.
  61. 61¿Qué métodos existen para asegurar la comunicación?• SL/TLS (SSL): provee confidencialidad e integridad al mensaje.
    • IPSec: brinda seguridad a nivel de transporte.
    • RPC Encryption: encripta los paquetes de datos entre el cliente y servidor.
  62. 62¿Qué opciones existen para almacenar secretos en ASP .NET?• Las clases de criptografia de .NET
    • Data Protection App Programing Interface (DPAPI)
    • COM+ Constructor Strings
    • CAPICOM

Información

Descripción
Authentication and Authorization
Creado por
Selim Nazar
Visitas
42
Valoración

Escríbenos

¿Sobre qué es tu mensaje?

¿Qué te parece el nuevo diseño?

¿Te gusta?