Rocky Heckman, seines Zeichens Security MVP, zeigt in dem Screen Recording "Assembly Hijacking" was man dank SQL Injection mit einer ASP.NET Website so alles anstellen kann (und das ausnahmsweise im negativsten aller Sinne).

Wenn man bedenkt, dass Chris bereits vor über 5 Jahren geeignete Gegenmittel mit .NET vorgestellt hat, ist es doch erstaunlich (genauer: erschreckend), wie häufig einem SQL Injection heute noch tagtäglich begegnet.

Bei Channel9 gibt es die "Input Validation Training Modules", in welchen folgende (ASP.NET 2.0)Security-Themen in Screen Recordings (je ca. 5-10 Min. lang) behandelt werden:

• Canonicalization
• Cookies
• Cross-Site Scripting
• Regular Expressions
• SQL Injection
• Validation Controls

Für jedes Thema steht der entsprechende Source-Code zum Download bereit sowie Links zu existierenden Microsoft Guidances zum jeweiligen Thema.

Seit gestern ist ein Patch (2554) für die Enterprise Library 2.0 verfügbar, der es ermöglicht, Applikationen, die auf die Enterprise Library 2.0 aufsetzen, in Partial Trust laufen zu lassen.

Der Patch ist auf der neu eingerichteten Seite für Patches zur Enterprise Library (1.x + 2.0) verfügbar.

Wer sich mehr mit Partial Trust bzw. Code Access Security (CAS) auseinandersetzen möchte (das sollte eigentlich jeder tun ;-)), dem sei das Buch "Professional ASP.NET 2.0 Security, Membership, and Role Management" von Stefan Schackow empfohlen. Dieses Buch liefert nicht nur wichtige Informationen zur ASP.NET 2.0 Security, sondern erweitert auch das Verständnis von ASP.NET 2.0 allgemein, was z.B. bei der Fehlersuche ungemein helfen kann.

Unter dem Titel "The Developer Highway Code" hat Microsoft UK ein PDF für Entwickler bereitgestellt, in dem die folgenden Themen behandelt werden:

• Integrating Security into the Lifecycle
• Security Objectives
• Web Application Security Design
• Threat Modelling
• Security Architecture and Design
• Security Code Review
• Security Deployment Review

Berücksichtigt werden .NET 1.1 und 2.0.

Arno Nel hat eine extrem umfangreiche Liste verfügbarer Artikel zu ASP.NET 2.0 Security, Rolemanagement und Membership sowie Provider zusammengestellt.

Wer hier nichts findet, ist selbst schuld ;-)

In a two-part (1, 2) article series @MSDN Peter Kellner shows how to build a ASP.NET 2.0 Membership Editor for admin purposes.

[click to enlarge]

The pattern's and practices team has launched the Security Guidance Blog for .NET Framework 2.0.

"This download describes the patterns & practices Security Engineering approach that can be used to integrate security into your application development life cycle. The Security Engineering approach contains activities for identifying security objectives, applying secure design guidelines, creating threat models, conducting security architecture and design reviews, performing security code reviews, security testing, and conducting security deployment reviews."

Download patterns & practices Security Engineering Explained pdf file.

The whole world seem's to work with ASP.NET 2.0 already. But do they care about ASP.NET 2.0 security?

If you want to care about ASP.NET 2.0 security, you should read the patterns & practices ASP.NET 2.0 Security Guidance Microsoft released nearly one month ago.

This page explains the rationale behind the patterns & practices Security Guidance for .NET Framework 2.0 project and provides an index into the guidance. You can use the guidance referenced on this page to improve both the security of your applications and your approach to building secure applications.