Quando se fala de Internet nos dias de hoje, o assunto mais tratado, sem nenhuma dúvida, é sobre Segurança. Muitos relatos, alguns verdadeiros e outros mais fantasiosos, sobre invasões mirabolantes, roubo de número de cartões de créditos, acesso a informações sigilosas de órgãos governamentais e assim por diante.

Não podemos negar que o problema de segurança existe e é crítico, principalmente no momento em que o Comércio Eletrônico é, mais do que uma realidade, uma necessidade e um diferencial competitivo para as empresas. O diferencial competitivo não é entrar ou não no mundo do Comércio Eletrônico, o diferencial é criar serviços agregados ao comércio eletrônico, capazes de gerar diferenciais competitivos. Assuntos como fidelização do cliente, melhorias nos sistemas de CRM – Customer Relationship Management (Gerenciamento das Relações com o Cliente), B2B – Business to Business, B2C – Business to Consumer e outros, estão em evidência.

Porém sistemas de Comércio Eletrônico, CRM e assemelhados, exigem acesso a um conjunto de dados estratégicos da empresa. Uma vez que estes sistemas estão acessíveis a Internet, os dados empresariais precisam estar protegidos. Neste ponto é que a questão segurança é de fundamental importância. Existem os mais variados tipos de ataques pela Internet. Um engano comum é pensar que único tipo  ataque capaz de causar prejuízos é aquele que rouba ou destroi dados. No caso de um site de comércio eletrônico, qualquer ataque que torne o site indisponível por um determinado período de tempo, causa prejuízos incalculáveis, pois além das compras que deixaram de ser feitas no período de indisponibilidade, tem a questão da imagem da empresa, sem contar que o cliente pode ter feito a compra no site do concorrente e passar a fazer as próximas compras também do concorrente.

Por todos estes motivos é que a questão de segurança é fundamental e deveria ser prioritária quando tratamos de aplicações Web. Outro fato importante a ser mencionado é que a maioria dos ataques, ao contrário do que muitos pensam, é originado dentro da Intranet da própria empresa. Pode ser um funcionário descontente ou desonesto, ou um usuário com permissões de acesso indevidas que causa algum prejuízo por imperícia técnica. O fato é que a questão de segurança não deve ser tratada apenas como uma questão de proteção contra “as forças do mal que vem da Internet”. O fato é que precisamos definir uma política de segurança que permita que todos possam realizar o seu trabalho, porém com os níveis de permissão adequados.

Além de definir uma política de segurança, é necessário a ampla divulgação da mesma. É alarmante constatar que muitas empresas não possuem uma política de segurança definida, ou quando tem, a política não é adequadamente divulgada. Outro erro bastante comum é achar que a questão de segurança é responsabilidade somente da equipe de desenvolvimento ou somente do Administrador da Rede. Na verdade o item segurança é bastante complexo e exige que o pessoal de desenvolvimento trabalha em sintonia com a Administração da rede e com todos na empresa.

Conforme veremos neste capítulo, existem aspectos de segurança que são de responsabilidade do desenvolvimento e outros que são de responsabilidade da Administração de rede. Na verdade o que se faz é criar várias barreiras para que o hacker não tenha sucesso em sua tentativa de invasão. Algumas destas barreiras são criadas na própria rede da empresa e outras em nível de aplicação Web.

Neste capítulo estaremos tratando de questões como:

• Autenticação do usuário com o servidor Web
• Aspectos de segurança a nível de Windows 2000 Server
• Aspectos de segurança no IIS 5.0
• Implementando um segurança a nível de Banco de dados.

Este aspectos tem a ver com o ambiente – Sistema Operacional (Windows 2000, Windows XP, Windows 2002) mais Servidor Web (IIS 5.0), onde rodam as aplicações Web criadas com ASP.NET. Estes aspectos são os mesmos, quer estejamos trabalhando com ASP ou ASP.NET.

Na segunda parte do capítulo, estudaremos alguns aspectos de segurança que são específicos do Framework .NET e do ASP.NET. Conforme veremos existem uma série de classes que nos permitem fazer configurações de segurança para aplicações Web criadas com ASP.NET.

De maneira alguma temos a pretensão de que esta capítulo seja um guia completo para a segurança na Internet e para o Comércio eletrônico. O objetivo é fornecer as informações básicas para que o usuário possa tomar as medidas mínimas necessárias para garantir um nível aceitável de segurança para seu site e suas aplicações Web.

Quando trabalhamos com tecnologias da Microsoft como ADO>NET,IIS e Windows 2000 Server, o endereço a seguir é de consulta obrigatória para assuntos relacionados a segurança de tecnologias Microsoft:  http://www.microsoft.com/security.

Neste site são divulgados boletins de segurança  sobre os produtos Microsoft. Sempre que algum novo problema é descoberto, são divulgadas informações sobre o problema, bem como a maneira de corrigi-los. Também são disponibilizados arquivos para Download. Estes arquivos normalmente contém correções (Hot-fix) que devem ser aplicados para corrigir problemas de segurança.

Para acompanhar este capítulo o usuário deve conhecer alguns aspectos básicos do Windows 2000 Server, tais como:

• Permissões NTFS.
• Contas de Usuários e Grupos de Usuários.
• Utilização do MMC – Microsoft Management Console e de Snap-in.

Para informações sobre estes itens, consulte o livro “Série Curso Básico & Rápido Microsoft Windows 2000 Server” de minha autoria, publicado pela editora Axcel Books.