È possibile proteggere un'applicazione ASP classica tramite HTTPModules?

Question

Ho un'applicazione ASP classica attualmente protetta tramite l'autenticazione moduli ASP.NET in esecuzione su IIS 6, il problema è che i nostri scopi richiedono che questa applicazione implementi un modello di sicurezza Single Signon utilizzando Entrust TruePass che utilizza i certificati client credo. Questo può essere implementato usando i moduli HTTP ASP.NET o devo scrivere un filtro ISAPI? Ci sono altre opzioni disponibili?

Answer 1

Per attivare l'HttpModule è necessario che IIS invii la richiesta a aspnet_isapi.dll e quindi al normale asp.dll. Nella maggior parte dei casi, se esiste un endpoint in .net che non restituirà la richiesta a IIS ma in IIS6 è possibile definire un gestore per caratteri jolly, consultare questo articolo sulla protezione di elementi non .net utilizzando l'autenticazione basata su moduli https://web.archive.org/web/20111127051259/http : //www.15seconds.com/issue/070104.htm

Quindi quello che dovresti fare è creare il tuo modulo, registrarti in web.config e usarlo per fare la tecnica, e fintanto che il punto finale non corrisponderà a nulla che gestirà .net allora dovrebbe lasciarlo tornare a IIS per accedere a asp.dll

[Il link sopra è via Internet Archive novembre 2011. L'articolo era precedentemente in http: // www .15seconds.com / issue / 070104.htm ]

Answer 2

Prima di tutto fammi dire che non so molto su HTTPModules, ma penso che potresti scrivere la tua implementazione di IHttpModule per gestire TruePass. Vedere questo collegamento per ulteriori informazioni: MSDN HttpModules .

Dalla mia esperienza, la più grande seccatura di andare avanti e indietro tra ASP classico e .NET riguarda le informazioni sulla sessione. Qualcosa archiviato in una variabile di sessione ASP classica non può essere letto da .NET e viceversa. Ma poiché il tuo FormsAuthentication sta molto probabilmente usando i cookie, hai un modo per andare avanti e indietro ora.

Non sono sicuro di altre opzioni. Se i tuoi requisiti aziendali sono di mantenere il classico codice ASP e di utilizzare TruePass, penso che potresti farlo funzionare.

Spero che sia d'aiuto.