• Глава 23. Безопасность приложения
• Безопасность Remote Development Services
• Пользовательская безопасность
• Реализация расширенной безопасности на страницах приложения
  • Кодирование страниц приложения
• Функции идентификации и авторизации
  • Функция IsAuthenticated
  • Функция IsAuthorized
• Тег <CFAUTHENTICATE>
• Тег <CFIMPERSONATE>
• Резюме

Глава 23

Безопасность приложения

ColdFusion поддерживает несколько уровней безопасности.

Редакции ColdFusion Server — Professional и Enterprise — включают в себя средство Advanced Security, которое обеспечивает масштабируемую, гранулярную защиту для построения и разворачивания ваших приложений ColdFusion.

• Администраторы Application Development System (системы разработки приложений) могут контролировать доступ к файлам, источникам данных и управление для каждого разработчика команды. Они могут координировать использование команды на совместных серверах с гарантией защиты уязвимых данных и приложений.
  
• Разработчики Application Deployment ColdFusion (разработчики приложений) могут создать комплексные правила для программного контроля доступа к функциям внутри приложений. Вы можете заключить приложения в безопасных областях, таким образом гибко ограничивая доступ приложений к каталогам, компонентам, базам данных или другим ресурсам на сервере.
  

Безопасность Remote Development Services

Тип безопасности Remote Development Services (ColdFusion RDS security) предоставляет услуги защиты разработчикам, использующим ColdFusion Studio. RDS security лежит в основе безопасности коллективно-ориентированной среды разработки ColdFusion, в которой группам разработчиков, создающим приложения в ColdFusion Studio, требуются различные уровни доступа к файлам и ресурсам данных ColdFusion.

Когда вы работаете в ColdFusion Studio, вы обращаетесь к ресурсам дистанционно, открывая cfm-файлы, или обращаясь к источникам данных. RDS security идентифицирует вас и предоставляет вам доступ к ресурсам соответственно логике. Идентификация производится по домену Windows NT, источнику данных ODBC или протоколу LDAP (Lightweight Directory Access Protocol), определенному на странице "ColdFusion Administrator", как часть контекста защиты.

Существуют два способа применения службы RDS security:

• Basic Security (Основная безопасность) требует от разработчиков в ColdFusion Studio ввести пароль, после идентификации которого открывается доступ к средствами RDS security, таким как просмотр, редактирование, операции с базой данных, устранение неполадок и т. п.;
  
• Advanced Security (Повышенная безопасность) позволяет администраторам ColdFusion ограничивать или разрешать доступ к системам файлов и источникам данных, в соответствии с контекстами защиты и стратегиями, установленными в разделе Advanced Security (Расширенная безопасность) на странице администратора "ColdFusion Administrator".
  

Таким образом, будучи администратором сервера ColdFusion, вы можете задавать конфигурацию службы RDS security так, чтобы она наилучшим образом соответствовала потребностям вашей сетевой группы.

Пользовательская безопасность

Служба пользовательской защиты (User security) идентифицирует пользователей, когда они входят в приложение ColdFusion, и потом присваивает привилегии, базируясь на групповом членстве или иных определенных вами критериях. Например, допустим, что вы используете ColdFusion для построения внутренней сети вашей компании, а в последствии как ведущий узел для созданной внутренней сети. Отдел кадров поддерживает страницу в Internet, на которой все служащие могут своевременно получить информацию о компании, например о ее политике, предстоящих событиях и рабочих местах. Вы хотите, чтобы каждый мог прочесть информацию, но лишь определенные сотрудники отдела кадров могли дополнять, обновлять или удалять сведения.

Помимо этого, вы, вероятно, захотите предоставить вашим сотрудникам возможность просматривать специализированную информацию об их заработной плате, разрядах, отзывы о качестве работы. Вы, конечно, не захотите, чтобы один служащий смотрел конфиденциальную информацию о другом, но предпочтете, чтобы менеджеры могли просматривать и, возможно, обновлять сведения о своих подчиненных. Система абонентской безопасности идентифицирует и авторизует пользователей каждый раз, когда они пытаются получить доступ или работать с уязвимыми данными.

Система пользовательской защиты состоит из двух компонентов:

• контекстов защиты, заданных в разделе Advanced Security (Расширенная безопасность) на странице администратора "ColdFusion Administrator". Контекст защиты обеспечивает базу для идентификации и авторизации пользователей;
  
• программного кода, который вы формируете на страницах приложения, и который проверяет по контексту защиты, разрешен ли пользователю доступ к определенному ресурсу, и действует в зависимости от результата проверки.
  

Прежде чем вы сможете использовать систему пользовательской Защиты в своих приложениях, вы должны убедиться, что ваш администратор ColdFusion установил повышенную безопасность на сервере и задал конфигурацию базы защиты, соответствующую вашему приложению. После того как база защиты сконфигурирована, вы можете кодировать свойства защиты в ваших приложениях ColdFusion.

Реализация расширенной безопасности на страницах приложения

Средство Advanced Security (Расширенная безопасность) облегчает разработчикам осуществление защиты приложения. После того как ваш администратор установит соответствующие контексты защиты для вашего приложения, вы сможете начать пользоваться тегами защиты ColdFusion и функциями идентификации пользователей, чтобы видеть, авторизован ли доступ в ту часть приложения, куда они пытаются войти.

Чтобы использовать теги защиты, функции идентификации и авторизации пользователей и открывать либо отказывать в доступе к ресурсам, в соответствии с правилами контекста защиты следует:

• включать тег <CFAUTHENTICATE> в каждое приложение, где вы хотите идентифицировать пользователей, т. е. убедиться, что они те, за кого себя выдают. Обычно тег <CFAUTHENTICATE> используется в конфигурационном файле Application.cfm вашего приложения;
  
• проверять идентификацию при каждом запросе, если не хотите использовать cookie. ColdFusion создает cookie cfauth для помещения в него информации об идентификации;
  
• пользоваться функцией IsAuthenticated для проверки идентификации текущего пользователя;
  
• пользоваться функцией IsAuthorized для проверки доступа (авторизации) пользователя к ресурсам. Эта функция позволяет разработчикам открывать или отказывать в доступе к защищенным ресурсам на основе уровня авторизации пользователя, определяемого уже установленными контекстами защиты;
  
• пользоваться тегом <CFIMPERSONATE> всякий раз, когда хотите предоставить определенному пользователю более высокий уровень доступа, чем обычно.
  

Кодирование страниц приложения

В качестве дополнительной меры безопасности вы можете кодировать строки в ваших приложениях при помощи функций Encrypt (зашифровать) и Decrypt (расшифровать), как это было продемонстрировано в разд. "Шифрование пользовательских паролей" гл. 16.

Функции идентификации и авторизации

После того как вы с помощью тега <CFAUTHENTICATE> проверите, определен ли данный пользователь для какого-либо контекста безопасности, вы можете использовать следующие функции защиты во всем вашем приложении в любое время, когда вам потребуется распознать или авторизовать пользователя:

• IsAuthenticated — проверяет, был ли текущий сеанс идентифицирован тегом <CFAUTHENTICATE>;
  
• IsAuthorized — проверяет, имеет ли идентифицированный пользователь доступ к указанному им ресурсу, базируясь на правилах, определенных в контексте защиты, для которого идентифицирован данный пользователь.
  

Функция IsAuthenticated

Функция isAuthenticated проверяет, успешно ли выполнен тег <CFAUTHENTICATE> по текущему запросу. Если нет, она ищет cookie cfauth, чтобы определить, идентифицирован ли пользователь. Если указан атрибут SETCOOKIE="NO" в сочетании с тегом <CFAUTHENTICATE>, то вы должны вызывать тег <CFAUTHENTICATE> при каждом запросе в приложении.

Функция isAuthenticated возвращает True, если пользователь идентифицирован для текущего запроса, в противном случае функция возвращает False.

Если вызывается функция isAuthenticated с произвольным параметром security_context_name, то возвращается значение True, если пользователь идентифицирован в указанном контексте защиты, в противном случае функция возвращает False,

Функция isAuthenticated имеет следующий синтаксис:

IsAuthenticated([security_context_name])

Функция IsAuthorized

После идентификации пользователя вы можете вызвать функцию IsAuthorized, чтобы проверить, к каким ресурсам допущен данный пользеватель. Вы определяете уровни авторизации, когда создаете стратегии безопасности в разделе Advanced Security (Расширенная безопасность) на страницы администратора "ColdFusion Administrator".

Функция isAuthorized возвращает True, если конкретному .пользователю разрешена указанная операция в заданном ресурсе ColdFusion.

Функция isAuthorized включает три параметра и имеет следующий синтаксис:

IsAuthorized(ResourceType, ResourceName, [Action])

Например, чтобы проверить, разрешено ли идентифицированному пользователю производить выборки из источника данных, называемого Cruise, укажите:

IsAuthorized("Datasource", "Cruise", "Select")

В этом примере функция isAuthorized возвращает True, если пользователю разрешено производить выборку из указанного источника данных, или если этот источник данных не защищен в контексте защиты.

В табл. 23.1 представлены типы ресурсов ColdFusion в соответствии с возможными действиями.

Таблица 23.1. Типы ресурсов функции isAuthorizen

Примечание

Сервер ColdFusion Server не проверяет авторизацию пользователя без специального запроса с помощью функции isAuthorized. В зависимости от результатов выполнения этой функции вы сами решаете, как действовать дальше.

Тег <CFAUTHENTICATE>

Синтаксис:

<CFAUTHENTICATE SECURITYCONTEXT = "SecurityContext"

USERNAME = "User_ID"

PASSWORD = "Password"

SETCOOKIE = "Yes | No"

THROWONFAILURE = "Yes | No"

AUTHTYPE = "Basic | X509">

В табл. 23.2 представлено описание атрибутов тега <CFAUTHENTICATE>.

Таблица 23.2. Описание атрибутов тега <CFAUTHENTICATE>

Например:

<CFAUTHENTICATE SECURITYCONTEXT = "MySecurityContext"

USERNAME = "Anna" PASSWORD = "****">

Если пользователь в системе еще не определен, ColdFusion выдает ошибку защиты. Вы можете или отказать в доступе к ресурсу или перенаправить пользователя на страницу регистрации. Например, вы можете вывести форму регистрации и потом, если пользователь успешно войдет в систему, вывести первоначально запрашиваемую им страницу.

Тег < CFIMPERSONAТЕ>

Синтаксис:

<CFIMPERSONATE SECURITYCONTEXT = "SecurityContext"

USERNAME = "Name" PASSWORD = "Password" TYPE = "CF | OS">

HTML- или CFML-код выполнения </CFIMPERSONATE>

В табл. 23.3 представлено описание атрибутов тега <CFIMPERSONATE>.

Таблица 23.3. Описание атрибутов тега <CFIMPERSONATE>

Тег <CFIMPERSONATE> предоставляет разработчикам ColdFusion способ безопасно выполнить сегмент кода. Этот тег полезен, когда вы хотите кратковременно предоставить тип доступа, в котором обычно отказываете. Допустим, вы провайдер Internet-услуг, который предоставляет услуги по разработке ColdFusion. Вы предоставляете комплект клиентских тегов, позволяющих вашим пользователям добавлять возможности, такие как счетчики обращений к странице, гостевые книги, доски объявлений в создаваемые ими приложения ColdFusion. Для предоставления таких функций вы также должны открыть доступ к некоторым ресурсам, которые предпочли бы защитить. Использование тега <CFIMPERSONATE> открывает доступ к этим функциям в безопасном режиме путем "упаковки" функций в клиентский тег.

Например, как провайдер Internet-услуг, вы конечно не захотите, чтобы ваши клиенты имели доступ к тегу <CFFILE> на ваших серверах. Однако, если вы предоставляете клиентам доску объявлений, то должны позволить им записывать собственные объявления, в системно поддерживаемые файлы, в данном случае — файл, где содержится список объявлений. Вы можете предоставить доску объявлений в пользовательском (custom) теге, в который включен тег <CFFILE>. Для гарантии, что пользовательский тег имеет доступ к тегу <CFFILE>, пользователю необходимо оказать доверительное отношение, пока выполняется тег, и вернуться назад к пользователю без оказанного доверия после того, как будет выполнен "правильный" фрагмент кода.

В следующем примере построенная конструкция с помощью тега <CFIMPERSONATE> позволяет нам в защищенный файл записать определенный текст, потому что пользователю ColdFusion по имени Anna был предоставлен доступ к файлу по контексту защиты MySecurityContext:

<CFIMPERESONATE SECURITYCOUTEXT = "MySecurityContext"

USERNAME = "Anna"

PASSWORD = "****" TYPE = "CF">

<CFFILE ACTION = "Write"

FILE = "C:\Apache\htdocs\MyLineCruises\BoardAnnouncements.cfm"

OUTPUT = "#strAnnounce#"> </CFIMPERESONATE>

Для выявления исключительных ситуаций безопасности вы можете использовать теги <CFTRY> и <CFCATCH>, задав тип исключительной ситуации Security тега <CFCATCH>, позволяющего выявить сбои. Для получения информации по стратегиям обработки ошибок см. главу 15.

Резюме

Подведем итог. В данной главе вы познакомились с CFML-тегами <CFAUTHENTICATE>, <CFIMPERSONATE> и функциями IsAuthenticated, IsAuthorized.