如何保證智能客戶(hù)端應(yīng)用的安全性(編輯修改稿)
2025-02-01 14:10 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 將 salt和口令進(jìn)行 Hash運(yùn)算 對(duì)用戶(hù)口令進(jìn)行單向 Hash加密 Data Protection API (DPAPI) 對(duì) CryptoAPI的擴(kuò)展 加密鍵值從登錄用戶(hù)的安全信息計(jì)算出來(lái) 用 TripleDES 加密算法 支持一致性 用更多的秘密信息來(lái)保證應(yīng)用的數(shù)據(jù)安全 最適合于 : 保護(hù)離線(xiàn)數(shù)據(jù) 保護(hù)用戶(hù)指定的配置數(shù)據(jù) 應(yīng)用 CryptoAPI DPAPI Local Security Authority (LSA) DPAPI Now is the time for all good… qANQR1D BAsUHIsQ EA… Local RPC Calls 純文本數(shù)據(jù) 操作系統(tǒng) 用 DPAPI 保存 SQL連接字符串 用 DPAPI 保存離線(xiàn)數(shù)據(jù) 限制對(duì)本地資源的訪(fǎng)問(wèn) 什么是本地資源 ? 本地所有的東西 ! 文件和文件系統(tǒng) 注冊(cè)表信息 用戶(hù)界面的元素 剪貼板 網(wǎng)絡(luò)訪(fǎng)問(wèn) (例如 . Web, sockets) 性能計(jì)數(shù)器 , 事件日志 打印 , 等等 .NET 用代碼訪(fǎng)問(wèn)安全（ CAS）控制對(duì)本地資源的訪(fǎng)問(wèn) Code Access Security 提供了應(yīng)用程序?qū)Ρ镜刭Y源訪(fǎng)問(wèn)的權(quán)限 應(yīng)用程序具備 “剛好足夠 ” 的權(quán)限 例如 : 不需要進(jìn)行文件 IO操作的應(yīng)用，就不需要文件IO 的權(quán)限 對(duì)資源權(quán)限的分配是基于 代碼的特征 , 而不是用戶(hù) 用 證據(jù) 來(lái)決定代碼的特征 用策略來(lái)評(píng)估證據(jù)，以決定哪些權(quán)限可以授予給應(yīng)用程序 Evidence + Policy = Permissions 加載程序集 收集證據(jù) Hash Strong name Publisher Zone URL Enterprise Machine User AppDomain 分配權(quán)限集 權(quán)限是否 被授予 ? 請(qǐng)求權(quán)限 程序集執(zhí)行權(quán) 限保護(hù)的操作 繼續(xù)執(zhí)行程序的操作 (或者說(shuō)訪(fǎng)問(wèn) 資源 ) Yes 產(chǎn)生安全異常 No 根據(jù)區(qū)域 (Zone)已設(shè)定的權(quán)限 Permission 操作 Local Intra Inter FileDialog 通過(guò)對(duì)話(huà)框打開(kāi) /保存文件 Yes No FileDialog 通過(guò)對(duì)話(huà)框打開(kāi)文件 Yes Yes IsolatedStorageFile 根據(jù)用戶(hù)和程序集將存儲(chǔ)隔離 Yes No IsolatedStorageFile 根據(jù)用戶(hù)，程序集和應(yīng)用程序域?qū)⒋鎯?chǔ)隔離 Yes Yes Printing 通過(guò)編程打印到默認(rèn)打印機(jī) Yes No Printing 只能通過(guò)指定的對(duì)話(huà)框打印 Yes Yes Reflection 編譯器生成程序集 Yes No Security 對(duì)一個(gè)已分配的權(quán)限斷言 Yes No Security 執(zhí)行 Yes Yes Security 調(diào)用非托管代碼 Yes No UI 不限制 Yes No UI 將數(shù)據(jù)復(fù)制到剪貼板 , 限制從剪貼板粘貼 Yes Yes UI 顯示消息和對(duì)話(huà)框 Yes Yes UI 安全的最前端窗口和子窗口 Yes Yes Web 用 來(lái)連接原始站點(diǎn) Yes Yes 證據(jù)的 7種類(lèi)型 對(duì)程序集進(jìn)行強(qiáng)名稱(chēng)簽名是一種比較容易而且可靠的方法來(lái)建立代碼標(biāo)識(shí) 對(duì)程序集執(zhí)行強(qiáng)名稱(chēng)簽名 強(qiáng)名稱(chēng)對(duì)代碼添加標(biāo)識(shí)，并且可以防止別
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1