Grundlagen der Codezugriffssicherheit

[markus lemcke]

Hallo,

hier http://msdn.microsoft.com/library/de...ritybasics.asp ist ein Artikel über Grundlagen der Codezugriffssicherheit .

Ich kann mit unter Codezugriffssicherheit nicht so richtig was vorstellen, geschweige warum ich wovor meinen Code schützen muss!

kann mir jemand bitte das erklären?

[markus lemcke]

hallo,

leider hat hier bisher niemand geantwortet. ich habe noch immer massive schwierigkeiten mir vorzustellen zu was Codezugriffssicherheit gebraucht wird! desweiteren habe ich große Schwierigkeiten mit den Begriffen declarative+imperative security! wann wird was verwendet und vor allem warum?

[Jan Kaiser]

Hallo Marcus,

pooste noch einmal den Link, irgend etwas stimmt damit nicht.

cu Jan

[Andreas Kosch]

Hallo Markus,

...declarative+imperative security....

bei der imperativen Implementierung kodiert der Entwickler die Sicherheitsprüfungen in die Methode, indem über new eine Instanz der jeweiligen Permission-Klasse erzeugt wird, um dann Demand aufzurufen:

FileIOPermission aPerm = new FileIOPermission(PermissionState.XYZ);
aPerm.Demand();

Anstelle explizite Funktionsaufrufe im Sourcecode unterzubringen, greift die deklarative Implementierung auf Attribute zurück. In diesem Fall tauchen innerhalb der Methode keine Programmzeilen mehr auf.

[FileIOPermission(SecurityAction.xxx, Append=xxx)]

[markus lemcke]

@jan
hier der link:
http://msdn.microsoft.com/library/de...ritybasics.asp

@Andreas
Supererklärung! danke!
kannst Du bitte noch kurz erklären, wann ich mich um Codezugriffssicherheit kümmern muss!

[Andreas Kosch]

Hallo Markus,

...wann ich mich um Codezugriffssicherheit kümmern muss!

die "offzielle" Antwort ist: Immer! Je besser das eigene Programm abgeschottet ist, umso geringer ist die Wahrscheinlichkeit, das ein Dritter das Programm für nicht beabsichtigte Zwecke missbraucht.

Die pragmatische Antwort könnte lauten, dass CAS (Code Access Security) als Minimum immer dann relevant ist, wenn das eigene Programm nicht von der lokalen Festplatte des Anwenders aufgerufen wird.

Ab Visual Studio 2005 und der ClickOnce-Technologie von .NET 2.0 vereinfacht sich CAS etwas, indem zum einen vordefinierte visuelle Konfigurationsmöglichkeiten bestehen und zum anderen auch das Debuggen in verschiedenen Sandkästen von Visual Studio 2005 besser unterstützt wird.

[markus lemcke]

Die pragmatische Antwort könnte lauten, dass CAS (Code Access Security) als Minimum immer dann relevant ist, wenn das eigene Programm nicht von der lokalen Festplatte des Anwenders aufgerufen wird.

das heißt hauptsächlich bei Webapplikationen oder?

aber bei einer normalen Datenbankanwendung braucht man es eher nicht oder?

[Andreas Kosch]

Hallo Markus

viele Firmen legen das Programm zentral auf einem Server ab, über das die Anwender nur über ein gemapptes Netzlaufwerk zugreifen. In diesem Fall greifen die strengen CAS-Regeln, da die EXE nicht von der lokalen Festplatte gestartet wird.