C# для профессионалов. Том II

376C00AA00648A11CFB8D4AA5C35F4300D06092A864886F70D010104050003410011D1B5F6FBB0C4C0E
85A9BB5FDA5FEC1B8D9C229BB0FBBA7CBE3340A527A5B25EAA2A70205DD71571607291272DA581981C
73028AB849FF273465FAEF2F4C7174

Success

Создадим новую группу кода и применим полномочие FullTrust к сборкам, опубликованным ABC Corporation, с помощью следующей команды (достаточно длинной):

caspol -addgroup 1.– pub -hex
3082017B30820125A0030201020210D69BE8D88D8FF9B54A9C689A71BB7E33300D06092A864886F70D
01010405003016311430120603550403130B526F6F742041678656E6379301E170D3031303532383138
333133305A170D3339313233313233353935395A301A311830160603550403130F41424320436F7270
6F726174696F6E305C300D06092A864886F70D0101010500034B003048024100ECBEFB348C1364BOA3
AE14FA9805F893AD180C7B2E57ADABBBE7EF94694A1E92BC5B4B59EF76FBDAC8D04D3DF2140B761655
0FE2D5AE5F15E03CBB54932F5CBB0203010001A34B304930470603551D010440303E801012E4092D06
1D1D4F008D6121DC166463A1183016311430120603550403130B526F6F74204167656E637982100637
6C00AA00648A11CFB8D4AA5C35F4300D06092A86
4886F70D01010405000341001D1B5F6FBB0C4C0E85A9BB5FDA5FEC1B8D9C229BB0FB8A7CBE3340A527
A5B25EAA2A70205DD71571607291272D5A81981C73028AB849FF273465FAEF2F4C7174 FullTrust

Параметры определяют, что группа кода должна добавляться к верхнему уровню (1.), условие членства в группе кода имеет тип Publisher, а последний параметр определяет множество полномочий для предоставления (FullTrust). Команда будет требовать подтверждения:

Microsoft (R) .NET Framework CasPol 1.0.xxxx.x
Copyright (c) Microsoft Corp 1999-2001. All rights reserved.

The operation you are performing will alter security policy.
Are you sure you want to perform this operations? (yes/no) у
Added union code group with "-pub" membership condition to the Machine level.
Success

Машина теперь сконфигурирована при наличии полного доверия всем сборкам, которые были подписаны с помощью сертификата ABC Corporation. Чтобы подтвердить это, выполним команду caspol.exe -lg, которая выводит новую группу доступа к коду (1.8):

Security is ON
Execution checking is ON
Policy change prompt is ON

Level = Machine

Code Groups:
1. All code: Nothing
 1.1. Zone - MyComputer: Full Trust
 1.1.1. Zone — Intranet: LocalIntranet
 1.2.1. All code: Same site Socket and Web.
 1.2.2. All code: Same directory FileIO - Read, PathDiscovery
 1.3. Zone — Internet: Internet
 1.3.1. All code: Same site Socket and Web.
 1.4. Zone — Untrusted: Nothing
 1.5. Zone — Trusted: Internet
 1.5.1. All code: Same site Socket and Web.
 1.6. StrongName - 0024000004800000940000000602000000240000525341310004000001
000190007DlFA57C4AED9F0A32E84AA0FAEFD0DE9E8FD6AEC8F87FB03766C834C99921EB23BE79AD9D5
DCC1DD9AD236132102900B723CF980957FC4E177108FC607774F29E8320E92EA05ECE4E821C0A5EFE8
F1645C4C0C93C1AB99285D622CAA652C1FAD63D745D6F2DF5F17E5EAF0FC4963D261C8A1143651820
6DC093344D5AD293: FullTrust
 1.7. StrongName - 0000000000000000040000000000000: FullTrust
 1.8. Publisher -
3048024100ECBEFB348C1364B0A3AE14FA9805F893AD180C7B2E57ADABBBE7EF94694A1E92BC5B4B59
EF76FBDAC8D04D3DF2140B7616550FE2D5AE5F1 5E03CBB54932F5CBB0203010001: FullTrust
Success

В качестве еще одной проверки попросим caspol.exe сообщить, какие группы кода соответствуют нашей сборке:

caspol.exe -resolvegroup securityapp11.exe

Level = Enterprise
Code Groups:
1. All code: FullTrust

Level = Machine
Code Groups:
1. All code: Nothing
 1.1. Zone — Intranet: LocalIntranet
 1.1.1. All code: Same site Socket and Web.
 1.1.2. All code: Same directory FileIO — Read, PathDiscovery
 1.2. Publisher - 3048024100ECBEFB348C1364B0A3AE14FA9805F893AD180C7B2E57ADABB
BE7EF94694A1E92BC5B4B59EF76FBDAC8D04D3DF2140B7616550FE2D5AE5F15E03CBB54932F5CBB0
203010001: FullTrust

Level = User
Code Groups:
1. All code: FullTrust

Success

Результаты работы утилиты показывают, что сборка получает множество полномочий FullTrust при соответствии новой группе кода.

Управление зонами

Мы уже говорили о зонах, предоставляемых Windows, которыми мы управляем с помощью инструментов безопасности из Internet Explorer. Вот эти четыре зоны:

□ Intranet — все сайты Web, которые не находятся в интранет текущей организации.

□ Trusted Sites — сайты Web, которые не способны разрушить данные пользователя.

□ Restricted Sites — сайты Web, которые потенциально могут повредить компьютер.

□ Internet — все сайты Web, не попавшие в другие зоны.

Эти настройки управляются из Internet Explorer, так как они применимы к сайтам, посещаемым с помощью браузера, имеющего доступ к коду .NET (либо загруженному, либо в элементах управления страниц). Если используется другой браузер, он скорее всего не будет поддерживать код .NET и поэтому не будет параметров для управления ассоциированными зонами.

Любой пользователь на машине может изменить настройки зон, однако, настройки системы безопасности для зон, которые они определяют, применимы только для его учетной записи, т. е. один пользователь не может изменить у другого пользователя настройки зон. Это говорит о существовании риска, что пользователь может изменить настройки зон, не понимая, что делает, и невольно открыть свою машину для атаки.