Правильно ли я считаю, что SilverLight Out Of Browser имеет большой потенциал для нарушения безопасности?

Создать OOB с помощью Silverlight очень легко, и я думаю, что это хорошо. Тем не менее, также легко создать приложение, которое требует более высоких привилегий, и одним щелчком мыши пользователь может "разрешить" программе делать все на своем компьютере.

Я прав? Правильно ли я чувствую, что мы вернулись ко временам IE 6, когда выполнение вредоносного activex было так легко?

"Desktop".Net Framework использует Code Access Security для уменьшения периметра угрозы. Есть ли SL тоже?

Источник

3 ответа

Решение

Silverlight реализует множество мер по смягчению, чтобы сделать это менее страшным, чем вы думаете.

  1. По умолчанию приложения OOB помещаются в "песочницу", поэтому у большинства из них должно быть не больше разрешений, чем у приложения в браузере.

  2. Приложения OOB (в Windows) преднамеренно ограничивают свой маркер безопасности при запуске, поэтому даже если пользователь запускается как администратор, он лишает себя прав администратора и перезапускается (sllauncher.exe делает это, приложение не имеет права голоса).

  3. Существует раздел реестра, который можно установить на уровне HKLM, который позволяет администраторам, скажем, корпоративных сетей, запрещать все установки приложений OOB или запрещать только установку (или запуск) доверенных приложений. Таким образом, с небольшой групповой политикой пользователь даже не может запускать их, если хочет, по сравнению с EXE-файлом, который он, безусловно, может запускать в своем собственном контексте безопасности.

Источник

Silverlight OOB - это не альтернатива веб-приложениям, а настольным приложениям.
И SL использует тот же CAS, что и Fx4 (который немного меньше, чем Fx 35 и раньше).

Так что это, конечно, не хуже, чем альтернативы, с потенциалом сделать его более безопасным.

Источник

Надежное приложение Silverlight OOB для Windows следует рассматривать так же опасно, как и EXE. Это потому, что с небольшой помощью COM-взаимодействия он может загрузить EXE-файл на компьютер пользователя и выполнить его.

Обратитесь к техническому документу по безопасности Silverlight для получения дополнительной информации: http://download.microsoft.com/download/A/1/A/A1A80A28-907C-4C6A-8036-782E3792A408/Silverlight%20Security%20Overview.docx

Источник
Другие вопросы по тегам