Compartir vía

Protección de aplicaciones de RDS

  • Artículo

En este tema se proporciona información sobre seguridad para RDS.

Importante

A partir de Windows 8 y Windows Server 2012, los componentes del servidor RDS ya no se incluyen en el sistema operativo Windows (para obtener más información, consulte Windows 8 y la Guía de compatibilidad de Windows Server 2012, edición Cookbook). Los componentes de cliente de RDS se eliminarán en una versión futura de Windows. Evite utilizar esta característica en nuevos trabajos de desarrollo y tenga previsto modificar las aplicaciones que actualmente la utilizan. Las aplicaciones que usan RDS deben migrar al servicio de datos WCF.

Problemas de seguridad de Microsoft Internet Explorer

Con las nuevas mejoras de seguridad agregadas a Microsoft Internet Explorer, algunos objetos ADO y RDS se limitan a ejecutarse solo en un entorno de modo "seguro". Esto requiere que tenga en cuenta estos problemas, incluidas diferentes zonas, niveles de seguridad, comportamiento restrictivo, operaciones no seguras y configuración de seguridad personalizada.

Seguridad y el servidor web

Si usa el objeto RDSServer.DataFactory en el servidor web de Internet, recuerde que, al hacerlo, se crea un riesgo de seguridad potencial. Los usuarios externos que obtienen el nombre válido del origen de datos (DSN), el identificador de usuario y la información de contraseña podrían escribir páginas para enviar cualquier consulta a ese origen de datos. Si quiere un acceso más restringido a un origen de datos, una opción es anular el registro y eliminar el objeto RDSServer.DataFactory (msadcf.dll) y, en su lugar, usar objetos empresariales personalizados con consultas codificadas de forma rígida.

Para más información sobre las implicaciones de seguridad del uso del objeto RDSServer.DataFactory, consulte el Boletín de seguridad de Microsoft MS99-025 en el sitio web de seguridad de Microsoft.

Suplantación y seguridad del cliente

Si la propiedad Autenticación de contraseña del servidor web de IIS se establece en Autenticación de desafío o respuesta de Windows NT (para Windows NT 4.0) o en autenticación integrada de Windows (para Windows 2000), los objetos comerciales se invocan en el contexto de seguridad del cliente. Se trata de una nueva característica de RDS 1.5 que permite la suplantación de cliente a través de HTTP. Cuando se trabaja en este modo, el inicio de sesión en el servidor web (IIS) no es anónimo, pero usa el identificador de usuario y la contraseña en los que se ejecuta el equipo cliente. Si los DSN de ODBC están configurados para usar la conexión de confianza, el acceso a las bases de datos, como SQL Server, también se produce en el contexto de seguridad del cliente. Pero esto solo funciona si la base de datos está en el mismo equipo que IIS; Las credenciales de cliente no se pueden transferir a otro equipo.

Por ejemplo, un cliente, John Doe, con userid="JohnD" y password="<secret>" se inicia sesión en un equipo cliente. John Doe ejecuta una aplicación basada en explorador que necesita tener acceso al objeto RDSServer.DataFactory para crear un objeto Recordset ejecutando una consulta SQL en el equipo "MyServer" que ejecuta IIS. MyServer, un sistema que ejecuta Windows NT Server 4.0, está configurado para usar la autenticación de desafío o respuesta de Windows NT, su DSN de ODBC tiene seleccionado "Usar conexión de confianza" y el servidor también contiene el origen de datos de SQL Server. Cuando se recibe una solicitud en el servidor web, solicita al cliente el identificador de usuario y la contraseña. Por lo tanto, la solicitud se inicia sesión en MyServer como procedente de "JohnD"/"<secret>" en lugar de IUSER_MyServer (que es el valor predeterminado cuando la autenticación de contraseña anónima está activada). Del mismo modo, al iniciar sesión en SQL Server, se usa "JohnD"/"<secret>".

Por lo tanto, el modo de autenticación de desafío o respuesta de Windows NT de IIS permite crear páginas HTML sin que se solicite explícitamente al usuario el identificador de usuario y la información de contraseña necesaria para iniciar sesión en la base de datos. Si se estuviera usando la autenticación básica de IIS, esto también sería necesario.

Autenticación de contraseña

RDS puede comunicarse con un servidor web de IIS que se ejecuta en cualquiera de los tres modos de autenticación de contraseña: anónima, básica, o autenticación de desafío o respuesta de NT (llamada autenticación integrada de Windows en Windows 2000). Esta configuración define cómo un servidor web controla el acceso a través de él, como requerir que un equipo cliente tenga privilegios de acceso explícitos en el servidor web NT.