Zjištění modifikace podepsané assembly referencované aplikací   zodpovězená otázka

VB.NET, Bezpečnost

13. 1. 2011 4:06

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

CLR by nemělo za běhu aplikace umožnit nahrát referencovanou knihovnu podepsanou silným názvem (Strong Name), která byla po podepsání jakkoliv modifikována (třeba změnou jediného bajtu), protože nebude odpovídat její hash a tedy vyhodit vyjímku FileLoadException. Po řádově týdnech studií a experimentování se mi však nepodařilo libovolnou modifikací podepsané referencované knihovny tuto vyjímku vyvolat, aby na to bylo v aplikaci možné reagovat. Bohužel nedochází k vůbec žádné vyjímce a není tedy možné jakkoliv zjistit, že došlo například k podvržení dané knihovny. Máte s tímto někdo zkušenosti?
nahlásit spamnahlásit spam -6 / 6 odpovědětodpovědět

14. 1. 2011 3:23

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Přišel jsem na to. Od Frameworku 3.5 Service Pack 1 bylo zavedeno nové pravidlo, které u aplikací v zóně MyComputer (assembly s důvěryhodností FullTrust) vynechává ověřování silného názvu a tudíž nekontroluje, zda hash assembly odpovídá. Proto nedochází k žádné vyjímce. Ověřování se dá vynutit v konfiguračním souboru, v registru, nebo v konfiguraci Frameworku.
nahlásit spamnahlásit spam -4 / 4 odpovědětodpovědět

14. 1. 2011 9:15

Tomáš Jecha, MVP, MCSD
 

Hodnocení 860     Příspěvků 1596

Nejde ověření provést přes reflexi za běhu?
nahlásit spamnahlásit spam 0 odpovědětodpovědět

14. 1. 2011 12:58

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Jde, ale to je k ničemu, protože je potřeba, aby načtení assembly zabránil už CLR v době spouštění.
nahlásit spamnahlásit spam -7 / 7 odpovědětodpovědět

14. 1. 2011 12:31

anonym
 

95.103.91.45

Môžete uviesť konkrétnu sekciu konfiguračného súboru resp. konkrétny hive, key a hodnotu v registri?
nahlásit spamnahlásit spam 0 odpovědětodpovědět

14. 1. 2011 13:06

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Konfigurační soubor:

<configuration>
  <runtime>
     <bypassTrustedAppStrongNames enabled="false" />
  </runtime>
</configuration>

Registr:

Vytvořte položku DWORD s hodnotou 0 jménem AllowStrongNameBypass ve větvi HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework (32bitový systém) nebo HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework (64bitový systém). Nastavení potom bude platné pro všechny .NET aplikace, ne jen pro konkrétní assembly.
nahlásit spamnahlásit spam -5 / 5 odpovědětodpovědět

15. 1. 2011 11:41

anonym
 

78.128.196.210

Jeste jsem tuto funkcionalitu nikdy nepouzival, ale prijde mi trosku bezpredmetne pouzivat konfiguracni soubor (registry asi taky) k tomu abych zajistil overeni integrity. Podle me, kdyz uz nekdo dokaze zmenit tu knihovnu, tak proc by nemel dokazat zmenit ten konfiguracni soubor?

Myslel jsem si, ze tahle zalezitost funguje nejak lepe, ale z toho co se tu pise mi to tak nepripada (coz se mi vubec nelibi)..

Hubert Kindermann
nahlásit spamnahlásit spam -4 / 4 odpovědětodpovědět

15. 1. 2011 19:16

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Microsoft zřejmě předpokládá, že se všude dodržují doporučené bezpečnostní postupy a tudíž běžný uživatel nebude mít přístup pro zápis do toho konfiguračního souboru nebo registru. Ještě před verzí 3.5 SP1 to ověřování integrity v zóně MyComputer fungovalo bez nutnosti ho vynucovat.
nahlásit spamnahlásit spam -9 / 9 odpovědětodpovědět

15. 1. 2011 19:30

anonym
 

78.128.196.210

Kdyz ale predpoklada, ze se vsude dodrzuji bezpecnostni postupy, tak nemusi vubec Strong Key Signature podporovat (to podle me nedava smysl)... Moc ted nerozumim jeho smyslu. Spis bych rekl ze je tam neco co o cem nevime.

Hubert Kindermann
nahlásit spamnahlásit spam -1 / 1 odpovědětodpovědět

15. 1. 2011 21:40

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Co to je za nesmysl? Strong Name má dva hlavní důvody: Bezproblémové verzování a možnost udržování integrity assembly.
nahlásit spamnahlásit spam 1 / 1 odpovědětodpovědět

15. 1. 2011 22:10

anonym
 

78.128.196.210

Nemluvil jsem o tom, ze je Strong Name obecne k nicemu, ale z hlediska bezpecnosti a ochrane proti nezadane zmene assembly (tim nemyslim prehranim jinou verzi)..
nahlásit spamnahlásit spam -1 / 1 odpovědětodpovědět

15. 1. 2011 22:55

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Vůbec není k ničemu z hlediska ochrany, jen se musí vynutit to výše uvedené nastavení. Kromě toho v jiných zónách (například síť) to ověřování ve výchozím stavu funguje. Lepší způsob proti změně assembly u managed aplikací neexistuje.
nahlásit spamnahlásit spam -4 / 4 odpovědětodpovědět

16. 1. 2011 15:52

anonym
 

88.212.40.144

Pán Linhart,

je to zrejme myslené tak, že ak sa všade dodržiavajú bezpečnostné postupy, tak nie je nutné overovať integritu assembly.
nahlásit spamnahlásit spam 1 / 1 odpovědětodpovědět

16. 1. 2011 16:39

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Jenže oni se všude nedodržují a právě proto existuje toto ověřování integrity. Kromě toho i když uživatel zrovna nemá oprávnění správce, může si aplikaci zkopírovat/nainstalovat kamkoliv jinam než Program Files, nebo aplikaci spustit ze sítě.
nahlásit spamnahlásit spam -5 / 5 odpovědětodpovědět

16. 1. 2011 16:56

anonym
 

88.212.40.144

To je pravda.
nahlásit spamnahlásit spam 0 odpovědětodpovědět

21. 7. 2011 22:09

anonym
 

80.6.228.194

kto ma msn potreboval bych zasifrovat exe subor

nahlásit spamnahlásit spam -3 / 3 odpovědětodpovědět

21. 7. 2011 22:28

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Co to má znamenat?!
nahlásit spamnahlásit spam 1 / 1 odpovědětodpovědět

14. 1. 2011 13:02

Ondřej Linhart
 

Hodnocení -553     Příspěvků 3274

Ještě jsem chtěl poznamenat, že zavádět silný název u 3.5 assembly z důvodu udržení integrity je tedy zcela bezpředmětné, pokud například v instalaci nezajistíte vynucení ověřování pomocí nastavení hodnoty v registru. To ale potom může mít negativní dopad na rychlost spouštění ostatních .NET aplikací. Udržovat integritu je potřeba u klíčových součástí aplikace, jako třeba knihovna, která zajišťuje licencování aplikace nebo podobné bezpečnostní záležitosti.
nahlásit spamnahlásit spam -6 / 6 odpovědětodpovědět
                       
Nadpis:
Antispam: Komu se občas házejí perly?
Příspěvek bude publikován pod identitou   anonym.
  • Administrátoři si vyhrazují právo komentáře upravovat či mazat bez udání důvodu.
    Mazány budou zejména komentáře obsahující vulgarity nebo porušující pravidla publikování.
  • Pokud nejste zaregistrováni, Vaše IP adresa bude zveřejněna. Pokud s tímto nesouhlasíte, příspěvek neodesílejte.

přihlásit pomocí externího účtu

přihlásit pomocí jména a hesla

Uživatel:
Heslo:

zapomenuté heslo

 

založit nový uživatelský účet

zaregistrujte se

 
zavřít

Nahlásit spam

Opravdu chcete tento příspěvek nahlásit pro porušování pravidel fóra?

Nahlásit Zrušit

Chyba

zavřít

feedback