App Secrets در محیط توسعه ASP.NET Core: راهنمای جامع

امنیت مفاهیم و اصول امنیت وب

App Secrets در محیط توسعه ASP.NET Core: راهنمای جامع

30 بازدید 0 نظر ۱۴۰۴/۰۲/۱۰

قبل از هر چیزی بهتر است تعریفی از app secret ها داشته باشم. به اطلاعات حساسی اطلاق میشود که شما در پیکربندی های برنامه از آن استفاده میکنید، مانند Public Key جهت رمزنگاری ها، یا Connect Strings جهت اتصال به بانک های اطلاعاتی.

یک نمونه از App Secrets در فایل appsettings.jspn:

{
  "ConnectionStrings": {
    "DefaultConnection": "Server=myServer;Database=myDB;User Id=myUser;Password=myPassword;"
  }
}

ذخیره سازی بصورت App Secrets در محیط توسعه با چالش‌های متعددی روبرو است که در صورت عدم توجه کافی، می‌تواند منجر به آسیب‌پذیری‌های امنیتی شود. برخی از این چالش‌ها عبارتند از:

ذخیره سازی در فایل‌های پیکربندی: رایج‌ترین روش‌های اولیه، ذخیره سازی App Secrets در فایل‌های پیکربندی مانند appsettings.json یا web.config بود. این روش به شدت ناامن است زیرا این فایل‌ها معمولاً در سیستم کنترل نسخه (مانند Git) قرار می‌گیرند و بدین ترتیب، اطلاعات به راحتی در دسترس سایر توسعه دهندگان و حتی افراد غیرمجاز قرار می‌گیرند. جهت جلوگیری از این Leak، میتوانید از gitigonre استفاده کنید. لازم به ذکر است که فایل حساس web.config و یا appsettings.json بصورت by default توسط iis مسدود و غیرقابل دسترس می باشد. جهت تست و خطا بصورت زیر اقدام و در صورت مشاهده محتویات راه کارهای لازم را جهت مسدود سازی مهیا کنید.

www.yoursite.com/appsettings.json

ذخیره سازی درBackend-Source : قرار دادن مستقیم در کد منبع برنامه، حتی خطرناک‌تر از ذخیره سازی در فایل‌های پیکربندی است. این روش نه تنها App Secrets را در معرض دید قرار می‌دهد، بلکه ردیابی و مدیریت آن‌ها را نیز دشوار می‌سازد.

عدم تفکیک محیط توسعه و تولید: گاهی اوقات، تنظیمات مربوط به محیط توسعه به درستی از تنظیمات محیط تولید جدا نمی‌شوند. این امر می‌تواند منجر به استفاده از App Secrets توسعه در محیط تولید یا بالعکس شود که هر دو حالت مخاطرات امنیتی جدی به همراه دارند.

نمونه از تفکیک محیط توسعه در appsettings.Development.json:

{
  "Logging": {
    "LogLevel": {
      "Default": "Debug",
      "Microsoft": "Warning"
    }
  }
}

نمونه از تفکیک محیط پروژه در appsettings.Development.json:

{
  "Logging": {
    "LogLevel": {
      "Default": "Error",
      "Microsoft": "Error"
    }
  }
}

و پیاده سازی این تفکیک ها در program.cs:

public class Startup

{

    private readonly IWebHostEnvironment _env;



    public Startup(IWebHostEnvironment env)

    {

        _env = env;

    }



    public void ConfigureServices(IServiceCollection services)

    {

        if (_env.IsDevelopment())

        {

            services.AddDbContext(options =>

                options.UseSqlite("Data Source=local.db"));

        }

        else if (_env.IsProduction())

        {

            services.AddDbContext(options =>

                options.UseSqlServer("Server=prodServer;Database=prodDB;User Id=admin;Password=strongpassword;"));

        }

    }

}

دسترسی آسان برای توسعه دهندگان: در محیط توسعه، نیاز به دسترسی آسان به App Secrets برای اشکال‌زدایی و تست برنامه وجود دارد. یافتن تعادل بین سهولت دسترسی و امنیت، یک چالش کلیدی است.
مدیریت App Secrets تیمی: در پروژه‌های تیمی، اطمینان از اینکه هر توسعه دهنده به App Secrets مورد نیاز خود دسترسی دارد و در عین حال از دسترسی غیرمجاز به سایر App Secrets جلوگیری می‌شود، یک چالش مدیریتی است.

راهکارهای امن ذخیره سازی App Secrets برنامه در محیط توسعه ASP.NET Core

خوشبختانه، ASP.NET Core ابزارها و مکانیسم‌های قدرتمندی را برای مدیریت امن App Secrets برنامه در محیط توسعه فراهم کرده است. در ادامه به بررسی این راهکارها می‌پردازیم:

1. ابزار User Secrets

ابزار User Secrets، که به طور خاص برای محیط توسعه طراحی شده است، یک راه حل امن و کارآمد برای ذخیره سازی App Secrets برنامه به صورت محلی در دستگاه توسعه دهنده ارائه می‌دهد.

نحوه عملکرد:

هنگامی که از ابزار User Secrets استفاده می‌کنید، App Secrets برنامه در یک فایل JSON جداگانه خارج از دایرکتوری پروژه و در یک مکان امن در پروفایل کاربری سیستم عامل ذخیره می‌شوند.
ASP.NET Core به طور خودکار این فایل را در زمان اجرا در محیط توسعه شناسایی کرده و مقادیر آن را به پیکربندی برنامه اضافه می‌کند.
از آنجایی که این فایل خارج از دایرکتوری پروژه قرار دارد، به طور پیش فرض در سیستم کنترل نسخه (مانند Git) ثبت نمی‌شود.

مزایای استفاده از User Secrets:

امنیت: App Secrets در یک مکان امن در سیستم عامل ذخیره می‌شوند و از قرار گرفتن در سیستم کنترل نسخه جلوگیری می‌شود.
سهولت استفاده: ابزار خط فرمان .NET امکان مدیریت آسان App Secrets (افزودن، حذف، لیست کردن) را فراهم می‌کند.
تفکیک محیط: App Secrets توسعه به طور کامل از تنظیمات محیط تولید جدا هستند.
مخصوص توسعه: این ابزار به طور خاص برای نیازهای محیط توسعه طراحی شده است.

نحوه استفاده از User Secrets:

فعال سازی: در فایل .csproj پروژه خود، اطمینان حاصل کنید که وجود دارد. اگر وجود ندارد، یک GUID منحصر به فرد برای پروژه خود ایجاد کرده و آن را به عنوان مقدار این تگ اضافه کنید:



  net8.0

  enable

  enable

  your-unique-secret-id

مدیریت App Secrets: از طریق خط فرمان .NET در دایرکتوری پروژه خود، می‌توانید App Secrets را مدیریت کنید:
- افزودن یک کلید امنیتی:

dotnet user-secrets set "Authentication:Jwt:SecretKey" "your-secret-key-here"

لیست کردن تمام App Secrets:

dotnet user-secrets list

حذف یک کلید امینتی:

dotnet user-secrets remove "Authentication:Jwt:SecretKey"

پاک کردن تمام App Secrets:

dotnet user-secrets clear

دسترسی به App Secrets در کد: App Secrets ذخیره شده از طریق User Secrets به عنوان بخشی از پیکربندی برنامه در دسترس هستند و می‌توانید به روش‌های استاندارد از آن‌ها استفاده کنید:

public class MyService

{

    private readonly IConfiguration _configuration;



    public MyService(IConfiguration configuration)

    {

        _configuration = configuration;

    }



    public string GetSecretKey()

    {

        return _configuration["Authentication:Jwt:SecretKey"];

    }

}

2. متغیرهای محیطی (Environment Variables)

متغیرهای محیطی یک روش استاندارد برای پیکربندی برنامه‌ها در سیستم عامل‌های مختلف هستند. در محیط توسعه ASP.NET Core نیز می‌توان از متغیرهای محیطی برای ذخیره سازی App Secrets برنامه استفاده کرد.

نحوه عملکرد:

توسعه دهندگان می‌توانند متغیرهای محیطی را به صورت محلی در سیستم عامل خود تنظیم کنند.
ASP.NET Core به طور خودکار متغیرهای محیطی را شناسایی کرده و مقادیر آن‌ها را به پیکربندی برنامه اضافه می‌کند.

مزایای استفاده از متغیرهای محیطی:

استاندارد: یک روش استاندارد و شناخته شده در بسیاری از سیستم عامل‌ها و محیط‌های توسعه.
سادگی: تنظیم و دسترسی به متغیرهای محیطی معمولاً ساده است.
تفکیک محیط: می‌توان متغیرهای محیطی مختلفی را برای محیط‌های توسعه و تولید تنظیم کرد.

معایب استفاده از متغیرهای محیطی برای App Secrets:

امنیت: متغیرهای محیطی ممکن است به راحتی توسط سایر فرآیندها یا کاربران با دسترسی به سیستم قابل مشاهده باشند. این روش به اندازه User Secrets امن نیست.
مدیریت: مدیریت تعداد زیادی متغیر محیطی می‌تواند دشوار شود.
انتقال تنظیمات: انتقال تنظیمات بین محیط‌های مختلف ممکن است پیچیده باشد.

نحوه استفاده از متغیرهای محیطی:

تنظیم متغیرهای محیطی: بسته به سیستم عامل خود، متغیرهای محیطی را تنظیم کنید. برای مثال، در ویندوز می‌توانید از طریق "System Properties" -> "Environment Variables" این کار را انجام دهید. در macOS و Linux می‌توانید از دستور export در ترمینال استفاده کنید.

export Authentication__Jwt__SecretKey="your-secret-key-here"

نکته: توجه داشته باشید که کاراکتر : در نام کلیدهای پیکربندی ASP.NET Core باید با __ (دو خط زیر) در نام متغیرهای محیطی جایگزین شود.

دسترسی به متغیرهای محیطی در کد: همانند User Secrets، متغیرهای محیطی نیز به عنوان بخشی از پیکربندی برنامه در دسترس هستند:

public class MyService

{

    private readonly IConfiguration _configuration;



    public MyService(IConfiguration configuration)

    {

        _configuration = configuration;

    }



    public string GetSecretKeyFromEnvironment()

    {

        return _configuration["Authentication:Jwt:SecretKey"];

    }

}

3. Azure Key Vault (برای سناریوهای تیمی و پیشرفته)

اگر در یک محیط تیمی کار می‌کنید یا نیاز به مدیریت امن‌تر و متمرکزتر App Secrets در محیط توسعه دارید، Azure Key Vault یک گزینه قدرتمند است.

نحوه عملکرد:

Azure Key Vault یک سرویس مدیریت App Secrets مبتنی بر ابر است که امکان ذخیره سازی و مدیریت امن کلیدهای رمزنگاری، گذرواژه‌ها، گواهینامه‌ها و سایر App Secrets را فراهم می‌کند.
در محیط توسعه، توسعه دهندگان می‌توانند از طریق Azure CLI، PowerShell یا کتابخانه‌های Azure Identity به Key Vault دسترسی داشته باشند.
ASP.NET Core می‌تواند با استفاده از ارائه‌دهنده پیکربندی Azure Key Vault، به طور مستقیم App Secrets را از Key Vault بارگیری کند.

مزایای استفاده از Azure Key Vault در توسعه:

امنیت بالا: App Secrets به صورت رمزنگاری شده در یک سرویس امن مبتنی بر ابر ذخیره می‌شوند.
مدیریت متمرکز: امکان مدیریت و کنترل دسترسی به App Secrets به صورت متمرکز فراهم می‌شود.
مناسب برای تیم‌ها: امکان اعطای دسترسی‌های مختلف به اعضای تیم بر اساس نقش و نیاز وجود دارد.
یکپارچگی با Azure: به راحتی با سایر سرویس‌های Azure یکپارچه می‌شود.
سازگاری با محیط تولید: استفاده از Key Vault در محیط توسعه، انتقال به محیط تولید را تسهیل می‌کند.

معایب استفاده از Azure Key Vault در توسعه:

پیچیدگی: راه اندازی و پیکربندی Key Vault ممکن است پیچیده‌تر از User Secrets یا متغیرهای محیطی باشد.
وابستگی به ابر: نیاز به اتصال به اینترنت و یک حساب Azure دارد.
هزینه: استفاده از Azure Key Vault ممکن است هزینه‌هایی به همراه داشته باشد، اگرچه برای سناریوهای توسعه ممکن است لایه‌های رایگان یا کم هزینه در دسترس باشد.

نحوه استفاده از Azure Key Vault در توسعه:

ایجاد یک Azure Key Vault: از طریق پورتال Azure یا Azure CLI یک Key Vault ایجاد کنید.
ثبت یک Application (اختیاری اما توصیه می‌شود): یک Azure Active Directory (AAD) application ثبت کنید و به آن دسترسی لازم به Key Vault را اعطا کنید. این کار امنیت دسترسی را افزایش می‌دهد.
افزودن App Secrets به Key Vault: App Secrets برنامه خود را به عنوان "Secrets" در Key Vault اضافه کنید.
نصب بسته NuGet: بسته Microsoft.Extensions.Configuration.AzureKeyVault را به پروژه ASP.NET Core خود اضافه کنید.
پیکربندی در Program.cs: ارائه‌دهنده پیکربندی Azure Key Vault را در فایل Program.cs اضافه کنید:

using Azure.Identity;

using Microsoft.AspNetCore.Hosting;

using Microsoft.Extensions.Configuration;

using Microsoft.Extensions.Hosting;



public class Program

{

    public static void Main(string[] args)

    {

        CreateHostBuilder(args).Build().Run();

    }



    public static IHostBuilder CreateHostBuilder(string[] args) =>

        Host.CreateDefaultBuilder(args)

            .ConfigureAppConfiguration((hostingContext, config) =>

            {

                var settings = config.Build();



                if (hostingContext.HostingEnvironment.IsDevelopment())

                {

                    config.AddAzureKeyVault(

                        new Uri($"https://{settings["KeyVault:VaultName"]}.vault.azure.net/"),

                        new DefaultAzureCredential());

                }

            })

            .ConfigureWebHostDefaults(webBuilder =>

            {

                webBuilder.UseStartup();

            });

}

در این مثال، KeyVault:VaultName باید در appsettings.json یا از طریق متغیرهای محیطی تنظیم شود. DefaultAzureCredential به طور خودکار سعی می‌کند تا با استفاده از روش‌های مختلف (مانند ورود به Visual Studio، Azure CLI و غیره) احراز هویت کند. برای سناریوهای تیمی، استفاده از یک Application ثبت شده و ClientSecretCredential یا ManagedIdentityCredential توصیه می‌شود.

4. فایل‌های پیکربندی مخصوص محیط توسعه (appsettings.Development.json)

ASP.NET Core امکان استفاده از فایل‌های پیکربندی مخصوص محیط را فراهم می‌کند. فایل appsettings.Development.json به طور خودکار در محیط توسعه بارگیری می‌شود و می‌تواند تنظیمات خاص این محیط، از جمله App Secrets (با احتیاط)، را در خود جای دهد.

نحوه عملکرد:

هنگامی که برنامه در محیط توسعه اجرا می‌شود، ASP.NET Core ابتدا appsettings.json را بارگیری کرده و سپس تنظیمات موجود در appsettings.Development.json را روی آن اعمال می‌کند.
این امکان را فراهم می‌کند تا تنظیمات مختلفی برای محیط‌های مختلف داشته باشید.

مزایای استفاده از appsettings.Development.json:

سادگی: استفاده از فایل‌های پیکربندی آشنا و آسان است.
تفکیک محیط: تنظیمات توسعه از تنظیمات تولید جدا هستند.

معایب استفاده از appsettings.Development.json برای App Secrets:

امنیت: اگرچه این فایل به طور پیش فرض در سیستم کنترل نسخه ثبت نمی‌شود، اما همچنان در دایرکتوری پروژه قرار دارد و ممکن است به طور تصادفی ثبت شود یا توسط افراد غیرمجاز قابل دسترسی باشد. استفاده از این روش برای ذخیره سازی App Secrets حساس توصیه نمی‌شود.

توصیه: از appsettings.Development.json بیشتر برای تنظیمات غیرحساس مخصوص محیط توسعه مانند لاگینگ دقیق‌تر یا آدرس‌های سرویس‌های محلی استفاده کنید. برای App Secrets، از User Secrets یا Azure Key Vault استفاده کنید.

بهترین روش ها برای مدیریت امن App Secrets در توسعه

علاوه بر انتخاب روش مناسب برای ذخیره سازی، رعایت بهترین روش های زیر نیز برای مدیریت امن App Secrets برنامه در محیط توسعه ضروری است:

هرگز App Secrets را در سیستم کنترل نسخه (مانند Git) ثبت نکنید. اطمینان حاصل کنید که فایل‌های حاوی App Secrets (مانند فایل User Secrets به صورت پیش فرض) در .gitignore قرار دارند.
از روش‌های مختلف برای محیط‌های مختلف استفاده کنید. User Secrets برای توسعه محلی تک نفره بسیار مناسب است. برای تیم‌ها و سناریوهای پیشرفته‌تر، Azure Key Vault گزینه بهتری است. متغیرهای محیطی می‌توانند برای تنظیمات غیرحساس یا به عنوان یک لایه اضافی استفاده شوند.
دسترسی به App Secrets را محدود کنید. فقط توسعه دهندگانی که به یک راز خاص نیاز دارند باید به آن دسترسی داشته باشند. در صورت استفاده از Azure Key Vault، از مکانیسم‌های کنترل دسترسی (RBAC) برای مدیریت دسترسی‌ها استفاده کنید.
از پیکربندی‌های پیش فرض استفاده نکنید. مقادیر پیش فرضی که در کد یا فایل‌های پیکربندی قرار دارند و برای محیط تولید در نظر گرفته شده‌اند را در محیط توسعه بازنویسی کنید.
به صورت دوره‌ای App Secrets را بررسی و در صورت نیاز چرخش کنید. اگرچه این مورد بیشتر در محیط تولید اهمیت دارد، اما در محیط توسعه نیز می‌تواند به حفظ امنیت کمک کند، به خصوص اگر App Secrets برای مدت طولانی استفاده می‌شوند.
از ابزارهای امنیتی استفاده کنید. از ابزارهای اسکن آسیب‌پذیری و تحلیل کد استاتیک برای شناسایی احتمالی نقاط ضعف در مدیریت App Secrets استفاده کنید.
آموزش توسعه دهندگان. اطمینان حاصل کنید که تمام اعضای تیم از بهترین práticas امنیتی در زمینه مدیریت App Secrets آگاه هستند.

ملاحظات امنیتی تکمیلی

حمله زنجیره تامین (Supply Chain Attacks): مراقب وابستگی‌های پروژه خود باشید. بسته‌های NuGet مخرب می‌توانند به App Secrets شما دسترسی پیدا کنند. از منابع معتبر بسته دریافت کنید و به صورت دوره‌ای وابستگی‌های خود را بررسی کنید.
مهندسی اجتماعی: توسعه دهندگان باید در برابر تلاش‌های مهندسی اجتماعی برای به دست آوردن App Secrets هوشیار باشند.
امنیت ایستگاه کاری توسعه دهنده: امنیت فیزیکی و منطقی دستگاه‌های توسعه دهندگان نیز مهم است. دسترسی غیرمجاز به دستگاه می‌تواند منجر به افشای App Secrets شود.

جمع بندی

مدیریت امن App Secrets برنامه در محیط توسعه ASP.NET Core یک جنبه حیاتی از فرآیند توسعه نرم‌افزار است. استفاده از ابزار User Secrets به عنوان یک راه حل ساده و امن برای توسعه محلی توصیه می‌شود.

جهت کسب اطلاعات بیشتر شما را دعوت به مطالعه مقاله ماکروسافت میکنم:

https://learn.microsoft.com/en-us/aspnet/core/security/app-secrets?view=aspnetcore-7.0&tabs=windows

لینک استاندارد شده: xlPFQwd