O documento discute as novidades de segurança no ASP.NET Core 1.0, incluindo uma nova pilha de segurança baseada em ClaimsPrincipal e autenticação de middleware, cookies e autenticação externa com Facebook e Microsoft, e novas APIs de autenticação e proteção de dados. Apresenta também o middleware de autenticação por cookies, autenticação externa, autorização baseada em recursos e atributos Authorize atualizados.

1. Novidades de segurança em
ASP.NET Core 1.0
Sérgio Oliveira
@sfsoliveira

2. Sérgio Oliveira
www.soliveira.pt
me@soliveira.pt
@sfsoliveira

3. 36 000 000 Contas expostas
9 000 000 Transações de Cartão de Credito

4. 5 000 000 Contas de pais
200 000 Dados de crianças

5. Path to Identity
ASP.NET 1.0
Nepia
ASP.NET 2.0
Membership
Provider
ASP.NET 4.0
Simple
Membership
Provider
ASP.NET 4.5
ASP.NET
Identity 1
ASP.NET 4.5
ASP.NET
Identity 2
ASP.NET Core 1
ASP.NET
Identity 3

6. OWIN (Open Web Interface for .NET)
User
Agent
Host
Owin Server
ApplicationMNM2M1
(...)
(...)

7. ASP.NET Core 1.0
User
Agent
Host
DNX
Server
MVCMNM2M1
(...)
(...)
DI

8. Stack de Segurança em ASP.NET Core 1.0
• ClaimsPrincipal
• Autenticação baseada em Middleware
• Cookies
• Facebook
• Microsoft
• ...
• Outros serviços relacionados com segurança
• CORS
• Logging
• Encoding
• Anti-forgery Token
• Nova API de Autenticação
• Nova API de proteção de dados

9. Cookie Authentication Middleware
• Múltiplos esquemas de Autenticação
• Automatic Authenticate
• Automatic Challenge
• Access Denied Path

10. Autenticação externa
app.UseCookieAuthentication(
config =>
{
config.AuthenticationScheme = “bolachinhas";
config.AutomaticChallenge = false;
config.AutomaticAuthenticate = true;
});
app.UseFacebookAuthentication(
new FacebookOptions
{
AuthenticationScheme = "Facebook",
AppId = "203972043795013",
AppSecret = "2d2f3db1a84c25cde4922001bb1279c9",
SignInScheme = “bolachinhas",
AutomaticChallenge = true
});

11. Autorização
• Já é possível distinguir Unauthorized vs Forbidden
• Separação de regras de negócio e logica de autorização
• Políticas reutilizáveis
• Resource base authorization

12. Authorize Attribute
[Authorize(Users = "admin")]
[Authorize(Roles = "editor")]
NO MORE
Ainda é Suportado

13. Resource Based Authentication
• [Utilizador] pede permissão para [ação] sobre [recurso]
• Bob pede permissão para editar o post1

14. Obrigado