Abbiamo una recensione web in fase di revisione e vedo la solita sezione in Web.Config :
<authentication mode="Windows">
<forms loginUrl="~/Account/Login" timeout="10800" defaultUrl="~/"/>
</authentication>
La discussione qui è se questo è intrinsecamente più sicuro dell'autenticazione basata su form. Un lato dell'argomento è che Windows va bene poiché l'utente deve avere un account Windows per utilizzare il sistema.
La mia argomentazione è "Certo, è vero ma non attenua ogni vettore di attacco" e fornisce solo l'aspetto della sicurezza.
L'aggravamento di questo problema è il provider di appartenenze che fa riferimento a una connessione al database non esistente e una gestione errata degli errori, ma questo è un problema secondario.
Qual è la migliore argomentazione da sostenere per descrivere l'autenticazione di Windows come la panacea per i problemi di sicurezza delle applicazioni Web?