Käyttäjän autentikointi ja autorisointi ASP.NET -sovelluksessa

Abstract

Työ tehtiin Siperia Systems Oy:lle, joka on oululainen ohjelmistokehitysyritys. Yritys kehittää öljyntorjuntaan ja ympäristön suojeluun liittyvää mobiilisovellusta. Sovelluksen avulla voidaan lähettää palvelimelle esimerkiksi kuvia, tapahtumapaikan koordinaatteja sekä erilaisia mittaustietoja. Sovellusta voidaan käyttää useammalla laitteella samanaikaisesti, jolloin laitteen tai käyttäjän tunnistautuminen palveluun on tärkeää. Lisäksi lähetettävät tiedot voivat sisältää arkaluontoisia tietoja, jonka vuoksi tiedonsiirto täytyy salata.

Työn tavoitteena oli kehittää yrityksen uuden mobiilisovelluksen palvelinpuolen ohjelmistoa. Työn tietoperusta koostuu .NET-ohjelmistokehykseen liittyvistä tuetut kielet-, luokkakirjastot- sekä ASP.NET -osioista. Lisäksi teoriaosuudessa käydään läpi ASP.NET MVC 4 Web API ja siinä tuettuja ominaisuuksia, tarkastellaan MVC-arkkitehtuuria sekä määritellään käsitteet autentikointi ja autorisointi.

Työssä on käytetty suurimmaksi osaksi Microsoftin vuoden 2012–2013 aikana julkaistuja lähteitä, koska käytännön osuudessa käytetty Web API -palvelu on julkaistu vuonna 2012. Opinnäytetyön työosuudessa saatiin onnistuneesti rakennettua palvelu, johon käyttäjä voi tunnistautua. Tunnistautumisen jälkeen käyttäjä voi tehdä palveluun autorisointia vaativia kutsuja. Toimeksiantaja käyttää opinnäytetyön Demossa käytettyjä ratkaisuja yrityksen uuden mobiilisovelluksen HTTP-palvelun kehityksessä.

Palvelun jatkokehitykseen ehdotettiin muun muassa seuraavia ratkaisuja: Autentikointi rakennettaisiin tietoturvan lisäämiseksi filter-luokkaan tai HTTP message handler:n. Käyttäjät tulisi jakaa ryhmiin autentikoinnin yhteydessä. Lisäksi suositeltiin cross-site request forgery -tokenin käyttöönottoa lisäämään tietoturvaa tiedonvälityksessä.

This thesis was done for Siperia Systems Oy, which is a software development company located in Oulu. The company is developing a mobile application for measuring oil destruction and environmental protection. With the application, user can send different kinds of data to the server, such as pictures, site coordinates, as well as a variety of measurement data. Because several devices can be used at the same time, the device or the user's authentication service is essential. In addition, the information sent may contain sensitive data which is why the data must be encrypted during the transmission.

The purpose of this thesis was to develop the server part of software of the company's new mobile application. The theoretical framework consist of sections about supported languages and class libraries in the.NET -framework, as well as a section about ASP.NET in the .NET -framework. Furthermore the theoretical framework covers the ASP.NET MVC 4 Web API and features supported by the Web API as well as MVC architecture and the definitions of authentication and authorization.

The sources used in the thesis are mostly sources released by Microsoft in 2012-2013. The reason for this is that the HTTP service used in the practical part was released by Microsoft in 2012. In the practical part of the thesis, HTTP service was successfully developed so that it enables the clients to authenticate themselves. After the authentication, the client can send the HTTP service requests that require authorization. Siperia Systems Oy uses these techniques to help the development of the new HTTP service. Several improvements were suggested for the further development of the service. Firstly, the authentication process should be built in filter class or in the HTTP message handler for security reasons. Secondly, users should be devided into groups during the authentication process to the service. Since the basic authentication is vulnerable to cross-site request forgery attacks, the use of an anti-forgery token was recommended.