Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 499
ungültig, sofern die zwei Server nicht denselben Verschlüsselungsschlüssel verwenden. In
der Standardeinstellung werden ASP.NET-Computerschlüssel automatisch generiert, wenn
die Anwendung startet, und jede Anwendung bekommt ihren eigenen Computerschlüssel
(sodass eine Anwendung in einer gemeinsam genutzten Hostingumgebung nicht versehentlich
auf den Sitzungszustand einer anderen Anwendung zugreift).
In einer Serverfarmumgebung muss der Computerschlüssel also gemeinsam genutzt werden.
Das wird mithilfe des ASP-NET-Features Computerschlüssel möglich. Dort müssen Sie das
Kontrollkästchen Automatisch zur Laufzeit generieren deaktivieren. Auf einem Computer
in Ihrer Serverfarm klicken Sie dann auf Schlüssel generieren, um einen neuen, zufälligen
Computerschlüssel in die Felder für Entschlüsselungs- und Validierungsschlüssel einzutragen.
Sie können diese Schlüsseleinstellungen dann auf die anderen Computer in Ihrer
Serverfarm kopieren.
Falls Sie eine große Serverfarm verwalten oder häufig Ihre Computerschlüssel wechseln,
sollten Sie dieses Feature automatisieren. Dafür können Sie WMI verwenden oder direkt die
Web.config-Datei der Website verändern, wie im folgenden Beispiel gezeigt. Der Validierungsschlüssel
sollte ein zufällig generierter, 40 bis 128 Zeichen langer Hexadezimalstring
sein, der eine 20 bis 64 Byte lange Zufallssequenz angibt. Der Entschlüsselungsschlüssel
sollte ein hexadezimaler String mit 16 Zeichen Länge sein, wenn DES-Verschlüsselung
verwendet wird, oder mit 48 Zeichen Länge, wenn Triple-DES-Verschlüsselung eingesetzt
wird.
Falls bei den Benutzern sporadisch der Sitzungszustand verloren zu gehen scheint, sollten
Sie prüfen, ob die Computerschlüssel für die betroffene Anwendung auf allen Ihren Servern
denselben Wert haben. Falls ein Server einen anderen Computerschlüssel hat, kann der Sitzungszustand
eines Benutzers, der von einem anderen Server stammt, nicht vom zweiten
Server gelesen werden (und umgekehrt). Alle Server müssen denselben Computerschlüssel
haben, damit der Sitzungszustand in allen Servern der Farm zur Verfügung steht.
Benutzerdefinierte Fehler
Benutzerdefinierte Fehlerseiten sind ein zweischneidiges Schwert. Einerseits sind sie ein
wertvolles Debuggingtool für die Problembehandlung, weil sie dem Clientbrowser mehr
Informationen über die Probleme in der Anwendung liefern. Manche benutzerdefinierten
Fehlerseiten geben aber kritische Informationen heraus, und hier liegt das Sicherheitsproblem.
Prüfen Sie die benutzerdefinierten Fehlerseiten, die auf Ihren Sites verwendet werden.
In der Standardeinstellung liegen sie in %SystemDrive%\inetpub\custerr\\
.htm. Zum Beispiel liegt in einer deutschsprachigen Umgebung in einer Standardinstallation
auf dem Laufwerk C: die Fehlerseite für einen benutzerdefinierten 401-
Fehler unter C:\inetpub\custerr\de-DE\401.htm. Diese benutzerdefinierten Standardfehlerseiten
sind relativ simpel und geben nur den Fehlercode an, eine kurze Beschreibung und
eine allgemeine Erklärung, welches die Ursachen für den Fehler sein könnten. Wir empfehlen,
diese Standardfehlerseiten zu verwenden, die keine detaillierten Informationen liefern.
Für geschützte Umgebungen sollten Sie die Standardfehlermeldungen durch eine allgemeine