Правильно ли я считаю, что SilverLight Out Of Browser имеет большой потенциал для нарушения безопасности? - PullRequest
Новая
       10

Правильно ли я считаю, что SilverLight Out Of Browser имеет большой потенциал для нарушения безопасности?

1 голос
/ 01 февраля 2011

Создать OOB с помощью Silverlight очень легко, и я думаю, что это хорошо. Однако также легко создать приложение, которое требует более высоких привилегий, и одним щелчком мыши пользователь может «разрешить» программе делать все на своем компьютере.

Я прав? Правильно ли я чувствую, что мы вернулись к тем временам IE 6, когда выполнение вредоносного activex было настолько легким?

«Настольный ПК» .Net Framework использует Code Access Security для уменьшения периметра угрозы. SL тоже?

Ответы [ 3 ]

5 голосов
/ 02 февраля 2011

Silverlight реализует множество мер по смягчению, чтобы сделать это менее пугающим, чем вы думаете.

  1. Приложения OOB по умолчанию помещены в «песочницу» - поэтому большинство из них не должно иметь больше разрешений, чемприложение в браузере будет иметь.

  2. OOB-приложения (в Windows) преднамеренно ограничивают свой маркер безопасности при запуске, поэтому даже если запускается как администратор, они лишают себя прав администратора и повторнозапуск (sllauncher.exe делает это, приложение не имеет права голоса).

  3. Существует раздел реестра, который можно установить на уровне HKLM, который позволяет администраторам, скажем, корпоративнымсети, чтобы запретить все установки приложений OOB или запретить только установку (или запуск) доверенных приложений.Таким образом, с небольшой групповой политикой пользователь даже не может запустить их, если он хочет - по сравнению с EXE-файлом, который он, безусловно, может запустить в своем собственном контексте безопасности.

3 голосов
/ 01 февраля 2011

Silverlight OOB - это не альтернатива для веб-приложений, а для настольных приложений.
И SL использует тот же CAS, что и Fx4 (который немного меньше, чем Fx 35 и раньше).

Так что это, конечно, не хуже, чем альтернативы, с потенциалом сделать его более безопасным.

2 голосов
/ 02 февраля 2011

Trusted Приложение Silverlight OOB для Windows следует рассматривать как опасное, как EXE.Это связано с тем, что с небольшой помощью COM-взаимодействия он может загрузить EXE-файл на компьютер пользователя и выполнить его.

Для получения дополнительной информации обратитесь к техническому документу безопасности Silverlight: http://download.microsoft.com/download/A/1/A/A1A80A28-907C-4C6A-8036-782E3792A408/Silverlight%20Security%20Overview.docx

...