Симон Робинсон - C# для профессионалов. Том II

Риски безопасности, присущие открытию машины при отключении системы безопасности, для нас означают, что систему безопасности необходимо отключать только для тестирования и отладки. Необходимо знать, что приведенная выше команда не требует административных привилегий, т.е. любой пользователь (или вирус) может отключить систему безопасности .NET. Поэтому настоятельно рекомендуется включать систему безопасности Windows, чтобы защититься против злонамеренного или необдуманного использования.

Если необходимо восстановить конфигурацию системы безопасности в ее первоначальном состоянии, можно ввести команду:

caspol.exe -reset

Эта команда переводит политику системы безопасности в состояние установки по умолчанию.

Можно создавать свои собственные группы кода и затем применять к ним определенные полномочия. Например, мы определяем, что хотим доверять любому коду с web-сайта www.wrox.comи предоставляем ему полный доступ к системе (не доверяя коду с любого другого web-сайта). Прежде всего необходимо получить числовую метку группы кода, в которой будет находиться новая группа кода.

caspol.exe -listgroups

Эта команда выводит приблизительно:

Code Groups:

1. All code: Nothing

1.1. Zone — MyComputer: FullTrust

1.2. Zone — Intranet: LocalIntranet

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO — Read, PathDiscovery

1.3. Zone - Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.4. Zone - Untrusted: Nothing

1.5. Zone — Trusted: Internet

1.5.1. All code: Same site Socket and Web.

…

Используя тот факт, что Zone: Internetпомечена как 1.3, вводим команду:

caspol.exe -addgroup 1.3 -site www.wrox.com FullTrust

Отметим, что эта команда будет спрашивать подтверждение при попытке явно изменить политику системы безопасности на машине. Если теперь снова выполнить команду caspol.exe -listgroups, можно увидеть, что была добавлена новая группа кода, которой присвоено FullTrust.

Code Groups:

1. All code: Nothing

1.1. Zone - MyComputer: FullTrust

1.2. Zone — Intranet: LocalIntranet

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO - Read, PathDiscovery

1.3. Zone — Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.3.2. Site - www.wrox.com: FullTrust

1.4. Zone — Untrusted: Nothing

1.5. Zone - Trusted: Internet

1.5.1. All code: Same site Socket and Web.

1.5.2.

…

В другом примере предположим, что мы хотим создать группу кода в группе кода Intranet (1.2), которая предоставляет FullTrustвсем приложениям, выполняющимся с определенного общего сетевого диска:

caspol.exe -addgroup 1.2 -url file:///\\intranetserver/sharename/*FullTrust

Чтобы удалить созданную группу кода, можно ввести команду:

caspol.exe -remgroup 1.3.2

Она будет запрашивать подтверждение того, что вы хотите изменить политику системы безопасности, и если ответить положительно, она сообщит, что группа удалена.

Необходимо знать, что нельзя удалить группу кода All Code, но можно удалить группы кода на уровень ниже, включая группы для Internet, MyComputerи LocalIntranet.

Чтобы ослабить или ограничить полномочия, присвоенные группе кода, можно снова использовать caspol.exe. Предположим, что мы хотим применить FullTrustк зоне Intranet. В этом случае сначала мы должны получить метку, которая представляет группу кода Intranet:

caspol.exe -listgroups

Вывод показывает группу кода Intranet:

Code Groups:

1. All code: Nothing

1.1 Zone - MyComputer: FullTrust

1.2. Zone — Intranet: LocalIntranet

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO - Read, PathDiscovery

1.3. Zone - Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.4. Zone — Untrusted: Nothing

1.5. Zone — Trusted: Internet

1.5.1. All code: Same site Socket and Web.

…

После получения метки группы кода Intranetвводим вторую команду, чтобы изменить полномочия группы кода:

caspol.exe -chggroup 1.2 FullTrust

Команда будет запрашивать подтверждение изменения политики системы безопасности, и если теперь снова выполнить команду caspol.exe -listgroups, можно будет увидеть, что полномочие в конце строки Intranetизменилось на FullTrust:

Code Groups:

1. All code: Nothing

1.1. Zone - MyComputer: FullTrust

1.2. Zone - Intranet: FullTrust

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO - Read, PathDiscovery

1.3. Zone - Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.4. Zone — Untrusted: Nothing

1.5. Zone - Trusted: Internet

1.5.1. All code: Same site Socket and Web.

…

Можно создавать новые множества полномочий с помощью команды:

caspol.exe -addpset CustomPermissionSet permissionset.xml

Эта команда определяет, что создается новое множество полномочий с именем CustomPermissionSetна основе содержимого указанного файла XML. Файл XML должен содержать стандартный формат, определяющий PermissionSet. Для справки здесь представлен файл множества полномочий для множества полномочий Everything, который можно сократить до требуемых размеров:

Description="Allows unrestricted access to all resources covered by built in permissions">

Flags="Assertion, UnmanagedCode, Execution, ControlThread, ControlEvidence, ControlPolicy, SerializationFormatter, ControlDomainPolicy, ControlPrincipal, ControlAppDomain, RemotingConfiguration, Infrastructure" />

Чтобы увидеть все множества полномочий в формате XML, можно использовать команду:

caspol.exe -listpset

При желании применить конфигурационный файл PermissionSet XML к существующему множеству полномочий можно использовать команду:

caspol.exe -chgpset permissionset.xml CustomPermissionSet

.NET предоставляет возможность сопоставить сборку с группой кода, когда идентичность и целостность сборки подтверждена с помощью строгого имени. Этот сценарий широко используется при распространении сборок через сети, например распространение программного обеспечения через Интернет.

Если компания, производящая программное обеспечение, желает предоставить код своим заказчикам через Интернет, то создается сборка и для нее задается устойчивое имя. Устойчивое имя гарантирует, что сборка может быть идентифицирована уникальным образом, и также предоставляет защиту против подделки. Заказчики могут встроить это устойчивое имя в свою политику системы безопасности доступа к коду, а сборке, которая соответствует этому уникальному устойчивому имени, затем явно присвоить полномочия. Как мы видели в главе о сборках, устойчивое имя включает контрольные суммы для хэш-значений всех файлов в сборке, поэтому имеется строгое подтверждение, что сборка не была изменена с момента создания издателем устойчивого имени.