Seguridad Lgica

UST




2011
GrupoSecurity





CONFIGURACIONES
DEL PROTOCOLO

El siguiente documento contiene las
Secure Socket Layer para paginas ASP y servicio web basados en IIS con el objetivo de cifrar la
informacin sensible que pueda ser transmitida por los aplicativos del Grupo.
no se hace referencia a los temas de seguridad re
caractersticas.








PRESENTADO A
CONFIGURACIONES DE S
PROTOCOLO


Documento desarrollado por
Fecha: 22 de Diciembre del 2011

ONFIGURACIONES DE SEGURIDAD
ROTOCOLO SSL EN IIS Y PAGINAS ASP
contiene las principales recomendaciones de configuracin
paginas ASP y servicio web basados en IIS con el objetivo de cifrar la
informacin sensible que pueda ser transmitida por los aplicativos del Grupo. En este documento
no se hace referencia a los temas de seguridad relacionado con los certificados digitales y sus
SEGURIDAD
ROTOCOLO SSL EN IIS

ecomendaciones de configuracin del protocolo
paginas ASP y servicio web basados en IIS con el objetivo de cifrar la
En este documento
lacionado con los certificados digitales y sus
1. Introduccin
1.1 Secure Socket Layer SSL
Secure Socket Layer es un protocolo que provee encriptacin para la
transmisin de datos mediante el uso de llaves pblicas y privadas.
SSL es requerido cuando se necesita enviar datos sensibles o se necesita
transmitir informacin cifrada sobre la red para evitar que usuarios mal
intencionados puedan interceptar los datos.
2. Configuracin SSL en IIS 6.0
2.1 Habilitar SSL en IIS 6.0
Para habilitar SSL en IIS se deben seguir los siguientes pasos:
1. Abrir las propiedades del Sitio Web en IIS y en la pestaa Directory
Security, bajo el ttulo Secure Communications oprimir el botn Edit.

2. Marcar la opcin Require Secure Channel (SSL) y marcar tambin la
opcin Require 128-bit encryption si el Certificado es de 128 bits.

Llegados a este punto cuando se intente acceder al sitio mediante protocolo
HTTP el navegador enviar el siguiente mensaje de error:


The page must be viewed over a secure channel
The page you are trying to access is secured with Secure Sockets Layer (SSL).
--------------------------------------------------------------------------------
Please try the following:
Type https:// at the beginning of the address you are attempting to reach and press ENTER.
HTTP Error 403.4 - Forbidden: SSL is required to view this resource.
Internet Information Services (IIS)


3. Cdigo ASP Para Forzar el Acceso Mediante SSL
3.1 Utilizar ASP para forzar protocolo SSL en pginas
especficas
Es con frecuencia una buena prctica de seguridad requerir Secure Sockets
Layer (SSL) para determinadas pginas de un sitio Web. Aunque esto puede
configurarse a travs de Internet Services Manager (ISM) en Microsoft
Management Console (MMC), tambin se puede utilizar pginas Active Server
(ASP) para forzar SSL en pginas especficas sin realizar cambios en la
consola de MMC.

3.1.1 Requisitos previos
Se ejecuta IIS en los puertos estndar:
HTTP = puerto 80
HTTPS = puerto 443
IIS tiene instalado un certificado SSL vlido.
El sitio Web o el servidor virtual que se utiliza no utiliza los encabezados
de host HTTP/1.1 para la resolucin de nombres.





3.1.2 Forzar SSL mediante ASP

Para forzar SSL mediante ASP, se debe seguir los siguientes pasos:
1. Hacer clic en Inicio, luego clic en Ejecutar , escribir Notepad y, a
continuacin, clic en Aceptar .
2. Pegar el cdigo siguiente en un documento en blanco del Bloc de notas.
En el men archivo , hacer clic en Guardar como y, a continuacin,
guardar el cdigo siguiente en la raz del servidor Web como un archivo
de inclusin denominado ForceSSL.inc :

<%
If Request.ServerVariables("SERVER_PORT")=80 Then
Dim strSecureURL
strSecureURL = "https://"
strSecureURL = strSecureURL & Request.ServerVariables("SERVER_NAME")
strSecureURL = strSecureURL & Request.ServerVariables("URL")
Response.Redirect strSecureURL
End If
%>



Para cada pgina que requiera SSL, pegue el cdigo siguiente en la parte
superior de la pgina para hacer referencia al archivo de inclusin desde el
paso anterior:


<%@Language="VBSCRIPT"%>
<!--#include virtual="/ForceSSL.inc"-->

Cuando se explore cada pgina, el cdigo ASP que est en el archivo de
inclusin detecta el puerto para determinar si se utiliza HTTP. Si se utiliza
HTTP, el explorador ser redirigido a la misma pgina mediante HTTPS.





4. Referencias
4.1 Cmo implementar SSL en IIS
http://support.microsoft.com/kb/299875/es

4.2 Cmo Utilizar ASP para forzar SSL para las pginas
especficas
http://support.microsoft.com/kb/239875/es