WCF à l'abri.

Bonjour à tous.

Voilà, j'ai de nouveau une question bête à vous soumettre. Où placez-vous vos applications WCF ?

J'aimerais protéger la logique métier de mes services web, or actuellement ça ne me semble pas possible. Je m'explique (et je précise en passant que je suis un novice avéré en ce qui concerne la prog web, l'hébergement et tout le tsoin tsoin) :
J'ai une page aspx qui contient une appli silverlight (httpdocs/mapage.aspx et httpdocs/ClientBin/monAppliSilverlight.xap). Bon je ne vous ferez pas l'affront de vous demander comment protéger mon .xap, ce n'est pas prioritaire (et je ne pense pas que ce soit possible). Par contre tous les appels sensibles aux bases de données et autres traitements se font via des applications WCF dont les dll de sortie sont placées ici : httpdocs/bin/monService.dll.
Je ne veux pas cela. Ne serait-ce pas possible de placer ces dll ailleurs (dans cgi-bin par exemple qui est au même niveau que httpdocs, et donc pas accessible au commun des mortels... peut-être).

Vous l'avez compris je ne suis pas doué. Une petite aide ne serait pas malvenue.

Qu'est ce qui te gène dans cette arborescence? Tu as l'air d'être sous mono non? Je ne sais pas comment c'est la dessus mais en tout cas sous Windows avec IIS, il est impossible de voir les fichiers .dll ou .config. Il n'ya pas de problèmes de sécurité.
De la même manière, tu dois interdire (si ca n'est dejà fait) d'accéder à ces ressources (via .htaccess sur Apache par exemple).

Nan je suis bien sur un IIS ^^ (via plesk).

Le truc qui me gène c'est qu'actuellement si on tape l'adresse de la dll (ou du xap), genre "www.monsite.fr/bin/monservice.dll", on peut télécharger la dll en toute impunité (et donc voir les source, .net oblige).

Et donc via l'interface plesk, je n'arrive pas à caler les bons droit sur mon dossier bin (ou sur mon fichier dll) ; j'ai beau essayer de paramétrer mes droits, aussitôt que j'ai cliqué sur valider, la config par défaut refait surface (à savoir "contrôle total").

Donc c'est officiel (façon de parler), je peux changer les droits des dossiers mais aucunement des fichiers. Du coup ça ne m'avance pas du tout du tout. Ma dll est toujours téléchargeable, et si je la mets ailleurs que dans /bin mon service ne fonctionne plus.
Je trouve ça aberrant qu'on ne puisse pas mettre les dll des services ailleurs que dans son fichu dossier bin généré par défaut.

Je me suis rarement pris autant la tête, et c'est blasant =/

Bon ben j'ai le plaisir de t'annoncer que ton IIS est très mal configuré! :D
Il faut que dans ton applicationhost.config section configuration/system.webServer/security/requestFiltering tu aies quelque chose comme ca:

Code:

---

1 2 3 4 5 6 7 8 9 10

<hiddenSegments applyToWebDAV="true"> <add segment="web.config" /> <add segment="bin" /> <add segment="App_code" /> <add segment="App_GlobalResources" /> <add segment="App_LocalResources" /> <add segment="App_WebReferences" /> <add segment="App_Data" /> <add segment="App_Browsers" /> </hiddenSegments>

---

Ca signifie que ces urls seront masqués à la navigation (et que donc personne ne téléchargera le contenu du bin!).

Mais bon, ca me fait un peu peur pour toi si un truc si bateau est mal configuré, d'autant que ca c'est la config par défaut :?

Il est très tentant ton "applicationhost.config", je le veux... =D
... reste à savoir si j'y ai accès (serveur mutu oblige). Il est censé être où ?

Situé: C:\Windows\System32\inetsrv\config
Sauf que si t'es pas admin de la machine, t'y as pas accès!
Tu peux d'ailleurs dire aux admins que c'est des gros manches d'avoir mis ca comme ca :D
Tu peux peut être le mettre dans le web.config de ta racine mais il y'a peut être des chances que ca soit pas "overridable"

Je leur ai déjà envoyé un mail (du coup je les traiterai de gros manche au prochain =P ). Je leur ai demandé s'il pouvaient mettre à jour leur config en bois, mais comme je ne suis pas tout seul sur la machine, c'est pas gagné.

En attendant je vais essayer de triturer le web.config.

Merci pour tes réponses.
^^

Bon juste pour info (qui sait, je ne suis peut être pas le seul à me prendre la tête), il est tout à fait possible d'overrider les requestFiltering dans le web.config :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12

<configuration> <system.webServer> <security> <requestFiltering> <hiddenSegments> <add segment="bin" /> </hiddenSegments> </requestFiltering> </security> </system.webServer> </configuration>

---

Mais ça implique que le fameux applicationhost.config l'autorise :

Code:

---

1 2 3 4 5 6 7 8 9 10 11

<location path="blabla" overrideMode="Allow"> <system.webServer> <security> <requestFiltering> <hiddenSegments> </hiddenSegments> </requestFiltering> </security> </system.webServer> </location>

---

Ce qui n'est évidemment pas mon cas ...

Voila, exactement! C'est ce que je mettais dans mon message au dessus :)
Je serais toi, j'essaierais de comparer une config iis normale et celle que tu as sur le serveur. Il y a peut être d'autres surprises :(

Bon après plusieurs échanges, le monsieur ne veut pas modifier son "applicationhost.config" et me propose de me tourner vers un serveur dédié pour pouvoir faire "ce que je veux".
Prendre un serveur dédié c'était ce que je comptais faire à moyen terme, seulement ils ne me donnent vraiment pas envie de faire ça chez eux...

Du coup, en attendant, je reviens à ma première question : est-il possible de placer ses dll d'applications WCF ailleurs que dans ce /bin ?

C'est quel hébergeur? C'est un peu étrange et grave car c'est une faille de sécurité pour tout le monde là...
Pour ton problème, tu peux mettre un web.config et mettre l'accès à forbidden pour tout ton répertoire. C'est moins classe mais ca marche quand même.

L'hébergeur en question c'est Ikoula.
Ce souci est le seul que j'ai eu jusqu'à maintenant (je dis ça pour tempérer un peu les choses, car la mauvaise pub ça fait mal).

Et on peut forbiddener un répertoire dans le web.config ? Je vais creuser de ce coté là en attendant.

Bon j'ai tenté de mettre :

Code:

---

1 2 3 4

<httpHandlers> <add path="*.dll" verb="*" type="System.Web.HttpForbiddenHandler" validate="True" /> </httpHandlers>

---

dans la section <system.web></system.web> de mon fichier web.config et maintenant j'obtiens une jolie erreur 500. En gros il n'aime pas trop trop ça. J'ai fait quelque chose à l'envers ou bien c'est encore un souci de paramétrage de IIS qui m'empêche de faire ce que je veux ?