Uživatelská náročnost
Požadované vstupní znalosti
- Programování ASP.NET v C#
- Základy administrace Windows a IIS
Poznámka: v zásadě stačí jedna z uvedených znalostí. Instrukce pro příklady jsou psány takovým způsobem, že si s nimi poradí i neadministrující programátor nebo neprogramující admin.
Metody výuky
- Odborný výklad s praktickými ukázkami, cvičení na počítačích
Studijní materiály
- Příručka k příkladům, prezentace promítané lektorem.
Osnova kurzu
Čtyři základní zásady bezpečnosti
Trocha teorie na úvod
- Posuzování typu bezpečnostních hrozeb
- Neštěstí nechodí nikdy samo - odhalení příbuzných problémů
- Posuzování závažnosti bezpečnostních hrozeb
Zabezpečení platformy - serveru
- Minimalizace attack surface
- Použití nástroje Security Configuration Wizard
Zabezpečení kanálu - síťové komunikace
- Jak funguje protokol HTTP a proč není bezpečný
- Jak funguje SSL/TLS/HTTPS
- Jak žádat o certifikát web serveru a jak ho nainstalovat
- Provoz certifikační autority pomocí Windows Certificate Services
- Provoz certifikační autority pomocí OpenSSL (na platformě Windows a nejen
- tam)
Sugestivní zatáčka k injekcím
- Script injection a SQL injection jako nejaktuálnější bezpečnostní hrozby
- webových aplikací
Zabezpečení identity - kdo je kdo
Základní pojmy: identifikace, autentizace, autorizace
- Autentizační metody dostupné v HTTP
- ASP.NET Forms Authentication podrobně
- ASP.NET Membership a Role providers
Zabezpečení dat - šifrování
- Tajemství, šifry a paranoia v průběhu věků
- Symetrické a asymetrické šifrování, kombinace
- Nakládání s klíči
- Praktická implementace šifrovaného ukládání dat v .NET, s využitím RSA a
- AES algoritmů a odpovídající architektury
Zabezpečení identity - wind of changes
- Claims-based authentication, Identity metasystem
- Relying Parties, Identity Providers a jiná podobná sprostá slova
- Information Cards a jejich low-level implementace v ASP.NET
Boj proti vnitřnímu nepříteli
- Omezení škodního potenciálu aplikací na serveru běžících
- Obrana do hloubky
- Šifrování konfiguračních sekcí
- Izolace aplikací v rámci jednoho IIS