Protección de aplicaciones RDS

En este tema se proporciona información de seguridad para RDS.

Importante

A partir de Windows 8 y Windows Server 2012, los componentes del servidor RDS ya no se incluyen en el sistema operativo Windows (consulte Windows 8 y Guía de compatibilidad de Windows Server 2012 para obtener más detalles). Los componentes de cliente de RDS se quitarán en una versión futura de Windows. Evite usar esta característica en el nuevo trabajo de desarrollo y planee modificar las aplicaciones que actualmente usan esta característica. Las aplicaciones que usan RDS deben migrar a Servicio de Datos WCF.

Problemas de seguridad de Microsoft Internet Explorer

Con nuevas mejoras de seguridad agregadas a Microsoft Internet Explorer, algunos objetos ADO y RDS están restringidos a ejecutarse solo en un entorno de modo "seguro". Esto requiere que tenga en cuenta estos problemas, incluidas diferentes zonas, niveles de seguridad, comportamiento restrictivo, operaciones no seguras y configuración de seguridad personalizada.

Seguridad y su servidor web

Si usa el objeto RDSServer.DataFactory en el servidor web de Internet, recuerde que hacerlo crea un riesgo de seguridad potencial. Los usuarios externos que obtienen el nombre de origen de datos (DSN) válido, el identificador de usuario y la información de contraseña podrían escribir páginas para enviar cualquier consulta a ese origen de datos. Si desea un acceso más restringido a un origen de datos, una opción consiste en anular el registro y eliminar el objeto RDSServer.DataFactory (msadcf.dll) y, en su lugar, usar objetos empresariales personalizados con consultas codificadas de forma rígida.

Para obtener más información sobre las implicaciones de seguridad del uso del objeto RDSServer.DataFactory, consulte el Boletín de seguridad de Microsoft MS99-025 en el sitio web de seguridad de Microsoft.

Suplantación de identidad del cliente y seguridad

Si la propiedad Autenticación de contraseña para el servidor web de IIS se establece en Autenticación de desafío/respuesta de Windows NT (para Windows NT 4.0) o en autenticación integrada de Windows (para Windows 2000), los objetos de negocio se invocan en el contexto de seguridad del cliente. Se trata de una nueva característica de RDS 1.5 que permite la suplantación de cliente a través de HTTP. Cuando se trabaja en este modo, el inicio de sesión en el servidor web (IIS) no es anónimo, pero usa el identificador de usuario y la contraseña en los que se ejecuta el equipo cliente. Si las DSN odbc están configuradas para usar la conexión de confianza, el acceso a las bases de datos, como SQL Server, también se produce en el contexto de seguridad del cliente. Pero esto solo funciona si la base de datos está en el mismo equipo que IIS; Las credenciales de cliente no se pueden transferir a otro equipo.

Por ejemplo, un cliente, John Doe, con userid="JohnD" y password="<secreto>" ha iniciado sesión en un ordenador cliente. John Doe ejecuta una aplicación basada en explorador que necesita tener acceso al objeto RDSServer.DataFactory para crear un recordset de ejecutando una consulta SQL en el equipo "MyServer" que ejecuta IIS. MyServer, un sistema que ejecuta Windows NT Server 4.0, está configurado para usar la autenticación desafío/respuesta de Windows NT, su DSN ODBC tiene seleccionado "Usar conexión de confianza" y el servidor también contiene el origen de datos de SQL Server. Cuando se recibe una solicitud en el servidor web, solicita al cliente el identificador de usuario y la contraseña. Por lo tanto, la solicitud se registra en MyServer como procedente de "JohnD"/"<secreto>" en lugar de IUSER_MyServer (que es el valor predeterminado cuando la autenticación de contraseña anónima está habilitada). Del mismo modo, al iniciar sesión en SQL Server, se usa "JohnD"/"<contraseña>".

Por lo tanto, el modo de autenticación desafío/respuesta de WINDOWS NT de IIS permite crear páginas HTML sin que el usuario se le solicite explícitamente el identificador de usuario y la información de contraseña necesaria para iniciar sesión en la base de datos. Si se usaba la autenticación básica de IIS, esto también sería necesario.

Autenticación de contraseña

RDS puede comunicarse con un servidor web iis que se ejecuta en cualquiera de los tres modos de autenticación de contraseña: autenticación anónima, básica o de desafío/respuesta NT (denominada autenticación integrada de Windows en Windows 2000). Esta configuración define cómo un servidor web controla el acceso a través de él, como requerir que un equipo cliente tenga privilegios de acceso explícitos en el servidor web NT.