Ameaças à segurança em aplicações ASP.NET - Revista .Net Magazine 105

Com o aumento dos usuários de Internet, promovido pelo barateamento e também pela estabilização econômica no país, foi uma questão de tempo para a popularização do acesso. Pode se dizer que foi criado um ciclo virtuoso: acesso mais barato representou mais usuários conectados, que representou mais renda para as operadoras, que precisaram melhorar o acesso para atender mais usuários e assim por diante. É verdade que comparado com países mais desenvolvidos, o Brasil ainda está muito distante dos índices considerados adequados, porém, estamos bem se formos comparar com outros países com o mesmo nível de desenvolvimento econômico.

Outro componente que possibilitou a popularização da Internet e agora não só no nosso país, mas também em escala mundial foi a evolução das ferramentas de criação de conteúdo. Embora o termo seja um pouco estranho, no início a Web era usada apenas para exibir páginas e conteúdo estático representado por textos, hiperlinks e de vez em quando algumas imagens. Hoje há muitas ferramentas para se criar tanto conteúdo estático como aplicações complexas que possuam recursos que as deixam comparáveis às aplicações Desktop, geralmente mais ricas em interação com o usuário.

O ASP.NET é um dos responsáveis pela facilitação do desenvolvimento das aplicações. Alguns dos seus críticos dizem que representa uma aberração principalmente por causa dos Webforms (Nota do DevMan 1) alegando que se perde o controle do comportamento da aplicação, deixando isto para o servidor e o Framework. Tais críticas se baseiam em uma visão limitada onde se considera apenas uma pequena parte dos seus recursos. O ASP.NET é hoje uma das principais plataformas de desenvolvimento para Web e quando conhecido profundamente, oferece ao desenvolvedor um nível de controle tão grande como o que ele teria desenvolvendo com outros recursos. Considerando que não é necessário usar sempre Webforms. Caso o desenvolvedor precise, pode colocar a “mão na massa” diretamente editando código HTML e JavaScript da aplicação.

Além disso, a adoção da Internet como meio de transação comercial e de trânsito de todos os tipos de dados empresariais e pessoais é um caminho sem volta. Por este motivo, é responsabilidade dos desenvolvedores web a garantia de que suas aplicações ofereçam um ambiente confiável e seguro para os seus usuários. Como segurança, entende-se que sejam previstos e anulados pelo menos os ataques que intencionem obter os dados do usuário ou que permitam a execução de código não autorizado na aplicação. Felizmente, grande parte destes possíveis ataques baseia-se em brechas que são muito simples de serem corrigidas, principalmente usando-se o ASP.NET.

Grande parte dos ataques tem por objetivo obter acesso a dados não autorizados, fazer com que o site execute código não autorizado descaracterizando a aplicação ou criando formas de se obter dados do usuário para serem usados em fraudes. Os dois principais tipos de ataques são SQL Injection – quando o usuário mal intencionado executa consultas SQL no banco de dados da aplicação sem que a aplicação tenha controle – e Script Injection – quando o usuário mal intencionado tenta inserir scripts maliciosos na aplicação. Estes são os mais simples, mas, que servem de ponto de partida para ataques mais sofisticados.

Para garantir a segurança, o desenvolvedor precisa tomar medidas que estejam direcionadas a bloquear tais ataques e construir a sua aplicação de forma que deixe o menor número de possibilidades para que um usuário mal intencionado consiga violar sua integridade. Tanto o bloqueio dos ataques como melhorias na forma de construir a aplicação Web, serão demonstrados neste artigo e no exemplo que o acompanha.