Seguran�a em WCF utilizando ASP.NET Membership

De que se trata o artigo

Neste arquivo ser�o discutidos aspectos que envolvem a utilizaç�o de mecanismos de autenticaç�o e autorizaç�o de serviços desenvolvidos em WCF. A partir disto, ser� desenvolvida uma aplicaç�o de exemplo, empregando-se para isto o mecanismo para controle de usu�rios e acessos conhecido como ASP.NET Membership.

Em que situaç�o o tema � �til

O desenvolvimento de serviços em WCF envolve, em in�meras ocasi�es, a manipulaç�o de dados restritos e dos quais se espera que a confidencialidade seja preservada. � bastante comum que durante a construç�o de aplicaç�es deste tipo desenvolva-se toda uma l�gica para controle de usu�rios e, consequentemente, quais funcionalidades podem ser consumidas. Isto tende a ser um processo dispendioso e, ainda, suscet�vel a vulnerabilidades de segurança. Este artigo abordar� o uso dos mecanismos de segurança oferecidos pela tecnologia WCF, em conjunto com o recurso para gerenciamento de usu�rios conhecido como ASP.NET Membership. Com isso s�o apresentados meios para a concepç�o de soluç�es com um maior grau de segurança, al�m de aderentes a padr�es empregados em larga escala pelo mercado. Tudo isto possibilitar� aos desenvolvedores um maior enfoque nas funcionalidades requeridas pelo neg�cio, desonerando os mesmos da necessidade de se empreenderem esforços na criaç�o de mecanismos complexos de controle de acesso.

Segurança em WCF utilizando ASP.NET Membership - Gerenciando e protegendo o acesso a serviços em WCF

Em muitas companhias as quest�es relativas � segurança no acesso a serviços s�o, via de regra, relegadas a um segundo plano durante a fase de construç�o da soluç�o. Pouco se acaba fazendo e qualquer forma de controle de acesso a informaç�es em um serviço acaba por ser implementada negligenciando uma s�rie de fatores. Existem cen�rios nos quais � poss�vel, ainda, que tais aspectos sejam sequer levados em conta. Considerando um ambiente de TI em que o vazamento, geraç�o ou mesmo a modificaç�o n�o autorizada de informaç�es podem n�o apenas gerar transtornos, como comprometer a credibilidade da organizaç�o perante o p�blico, a quest�o da segurança no tr�fego dos dados acaba por ser de extrema relev�ncia. A soluç�o discutida a seguir busca apresentar meios para a criaç�o de aplicaç�es orientadas a serviço com um maior n�vel de segurança, simplificando o processo de desenvolvimento atrav�s do uso de recursos de segurança da tecnologia WCF, juntamente com o mecanismo de gerenciamento de acessos conhecido como ASP.NET Membership.

� ineg�vel que o advento de tecnologias como Web Services e XML em muito contribuiu para uma maior integraç�o entre sistemas informatizados. Tal fato pode ser constatado n�o apenas na possibilidade de troca de informaç�es entre soluç�es completamente distintas dentro de uma mesma empresa, como tamb�m no interc�mbio de dados entre diferentes companhias.

Numerosas organizaç�es como bancos e empresas de com�rcio eletr�nico, por exemplo, t�m na utilizaç�o de Web Services, seguindo uma Arquitetura Orientada a Serviços (SOA), um fator cr�tico para o sucesso nos neg�cios em que est�o inseridas. Estes processos de transfer�ncia de informaç�es envolvem ainda, dados dos mais variados tipos e origens: movimentaç�es financeiras, estat�sticas de um processo produtivo, operaç�es envolvendo log�stica de materiais, etc.

Visando atender a este tipo de demanda a Microsoft concebeu como parte integrante da plataforma .NET a tecnologia WCF (Windows Communication Foundation). Esta �ltima permite, por sua vez, o desenvolvimento de aplicaç�es que fazem pleno uso das capacidades do framework .NET, contando com recursos para a troca de informaç�es nos mais variados tipos de contextos, al�m de possibilitar uma f�cil ader�ncia das soluç�es criadas aos princ�pios da Orientaç�o a Serviços.

Alguns exemplos de protocolos de transmiss�o suportados em WCF s�o: HTTP / HTTPS (Hypertext Transfer Protocol / Hypertext Transfer Protocol Secure, comumente empregados em Web Services); TCP (Transmission Control Protocol, neste caso est� restrito apenas para o interc�mbio de informaç�es entre aplicaç�es em .NET); P2P (peer-to-peer); MSMQ (Microsoft Message Queuing, utilizado na implementaç�o de serviços de mensagens).

J� no que se refere a padr�es para interc�mbio de dados, a tecnologia WCF � capaz de manipular informaç�es em formatos como: SOAP (Simple Object Access Protocol, formato baseado em XML e comumente empregado em Web Services para a transmiss�o de dados); RSS (Really Simple Syndication representa um conjunto de formatos empregados para a notificaç�o de atualizaç�es em blogs, sites de not�cias, dentre outros �rg�os de informaç�o); JSON (JavaScript Object Notation, formato mais simplificado que o SOAP / XML, sendo normalmente utilizado em invocaç�es de serviços a partir de c�digo Javascript).

O mecanismo de gerenciamento de acesso conhecido como ASP.NET Membership foi originariamente desenvolvido para a utilizaç�o em sites desenvolvidos em ASP.NET. Este recurso permite a utilizaç�o de toda uma estrutura para controle de usu�rios e regras de acesso, evitando que desenvolvedores definam toda uma nova l�gica de acesso do zero e acabem assim por �reinventar a roda�.

Conv�m ser lembrado ainda que, em muitas situaç�es, deve-se restringir o acesso a dados dentro de uma organizaç�o. Devem ser estabelecidas para isto pol�ticas que determinem quem est� autorizado a acessar os dados e sob quais condiç�es. Cen�rios comuns para isto incluem a manipulaç�o de informaç�es sens�veis, regulamentaç�es governamentais ou, ainda, pol�ticas corporativas de segurança da informaç�o.

A soluç�o apresentada neste artigo procura demonstrar uma alternativa na utilizaç�o de recursos de segurança dentro de uma soluç�o desenvolvida em WCF. Para isto ser�o utilizados recursos de configuraç�o desta pr�pria tecnologia, em conjunto com as t�cnicas para controle de acesso disponibilizadas pelo ASP.NET Membership.

Nota do DevMan

SOA (sigla em ingl�s para Service Oriented Architecture) - ou Arquitetura Orientada a Serviços, em portugu�s - � um modelo de arquitetura na �rea de Sistemas de Informaç�o. Tem por objetivo principal o atendimento de necessidades de neg�cios a partir do fornecimento de serviços agrupados em componentes (m�dulos) de software. A implantaç�o desta arquitetura � feita, de maneira geral, atrav�s da utilizaç�o de Web Services, focando ainda na possibilidade de reutilizaç�o de funcionalidades j� existentes e pass�veis de serem expostas como serviços.

Alguns exemplos de padr�es amplamente empregados na implementaç�o de uma Arquitetura Orientada a Serviços s�o: o SOAP como protocolo para troca de informaç�es; a linguagem XML (eXtensible Markup Language) para a formataç�o de dados; web services como componentes que implementam as funcionalidades dos serviços a serem oferecidos. Logo, por mais heterog�neos que tais ambientes possam ser, a utilizaç�o de padr�es assegura a portabilidade entre as aplicaç�es que geram os dados e aquelas que se utilizam dos mesmos.

Nota do DevMan

O JSON (JavaScript Object Notation) � uma esp�cie de padronizaç�o para transporte de informaç�es entre ambientes heterog�neos e que tem como linguagem o JavaScript. Mas padr�o, transporte, ambiente heterog�neo, tudo isso remete ao XML, ent�o vem a quest�o: Por que JSON e n�o XML? O principal motivo � pelo fato da notaç�o JSON ser extremamente mais simples do que XML. N�o existem tags diversas nem regras complexas para escrita e muito menos mecanismos complexos de parser. A seguir temos a construç�o da sintaxe JSON:

A estrutura de dados � bem simples de trabalhar e o tempo de execuç�o de um script lendo dados em JSON � dezenas de vezes mais r�pido do que ler um conte�do XML. Por isso, tem ganhado bastante visibilidade e se tornado uma grande alternativa para se trabalhar com AJAX.

Alguns conceitos b�sicos de segurança

Quando se considera a necessidade de se restringir o acesso �s funcionalidades dentro de uma aplicaç�o, dois conceitos de segurança devem ser considerados: autenticaç�o e autorizaç�o.

Por autenticaç�o deve-se entender, em termos gerais, como sendo o processo no qual o consumidor de um recurso apresenta sua identificaç�o ao mecanismo respons�vel por prover isto. Se as credenciais forem v�lidas, o acesso ao provedor dos recursos � liberado; em caso negativo, impede-se tal acesso por parte da estrutura consumidora. Em aplicaç�es distribu�das desenvolvidas em WCF, o processo de autenticaç�o pode ser feito utilizando-se diversas t�cnicas, tais como empregando credenciais do Windows, por meio de usu�rios e senhas, com certificados digitais, etc.

A autorizaç�o consiste em se conferir, uma vez que um consumidor de um recurso tenha sido autenticado, se o mesmo tem acesso a aquilo que est� requisitando. Em caso afirmativo, o acesso ao recurso em quest�o � concedido; do contr�rio impede-se que a estrutura consumidora consiga interagir com aquilo que a mesma tentou requisitar.

Outros conceitos importantes, quando se levam em conta quest�es que concernem � segurança de informaç�es, s�o a integridade e a confidencialidade dos dados.

O conceito de integridade refere-se � garantia de que os dados que s�o trafegados n�o ser�o, por meios acidentais ou mesmo deliberadamente, alterados durante as etapas de transfer�ncia das informaç�es. J� o termo confidencialidade diz respeito � caracter�stica na qual apenas partes autorizadas t�m acesso a um determinado tipo de informaç�o.

Assim, conforme ser� abordado neste artigo, o uso de mecanismos envolvendo t�cnicas de autenticaç�o e autorizaç�o em WCF busca assegurar a confidencialidade e a integridade de informaç�es em soluç�es orientadas a serviços.

ASP.NET Membership

Conforme j� mencionado anteriormente, o mecanismo conhecido como ASP.NET Membership destina-se ao controle do acesso de usu�rios a recursos oferecidos por uma aplicaç�o.

Esta tecnologia pode utilizar as seguintes fontes como reposit�rio de informaç�es no gerenciamento de usu�rios e regras (roles) de acesso:

� Um banco de dados SQL Server;

� O recurso Active Directory do Windows;

� Um provider customizado desenvolvido em atendimento a uma finalidade espec�fica.

Na soluç�o apresentada mais adiante por este artigo ser� feito o uso do recurso ASP.NET Membership a partir de um banco de dados SQL Server.

Segurança em WCF: uma vis�o geral

A forma como ocorre a troca de mensagens entre a soluç�o que exp�e um serviço e os consumidores deste representa, essencialmente, o aspecto principal a ser considerado quando da necessidade de se configurar os recursos de segurança de uma aplicaç�o criada em WCF. Tal exposiç�o se d� atrav�s de um ou mais endereços chamados endpoints. Cada endpoint, por sua vez, possui um conjunto de configuraç�es na qual s�o especificadas caracter�sticas como protocolo de comunicaç�o, padr�es de serializaç�o das informaç�es, aspectos de segurança, dentre outros itens.

A configuraç�o de tais detalhes de um endpoint pode ser feita tanto via c�digo-fonte, assim como atrav�s do arquivo XML de configuraç�es da aplicaç�o em que o mesmo se encontrar. Esta �ltima opç�o � a que talvez apresente maior flexibilidade, uma vez que modificaç�es podem ser introduzidas sem a necessidade de alteraç�es no c�digo-fonte da soluç�o em quest�o. Ao agrupamento de configuraç�es que definem um endpoint d�-se o nome de binding. Alguns bindings, criados pensando-se na interoperabilidade entre soluç�es heterog�neas, s�o compat�veis inclusive com aplicaç�es-cliente criadas em Java (ou mesmo mainframe)." [...] continue lendo...

Seguran�a em WCF utilizando ASP.NET Membership - Revista .net Magazine 89

Neste artigo serão discutidos aspectos que envolvem a utilização de mecanismos de autenticação e autorização de serviços desenvolvidos em WCF.

Artigos relacionados