Windows應(yīng)用程序開發(fā)入門到精通十二：將安全隱患扼殺在搖籃之中

Windows應(yīng)用程序開發(fā)入門到精通十二：將安全隱患扼殺在搖籃之中LiveMeeting2005新特性清晰音質(zhì)——實(shí)時(shí)講義下載——輕松獲得第一手資料中文交互——強(qiáng)大的中文提問平臺(tái)，想問就問，沒有困擾內(nèi)容更精彩——開發(fā)，集成，架構(gòu)設(shè)計(jì)，項(xiàng)目管理，應(yīng)有盡有課程介紹這次Webcast會(huì)給大家介紹如何應(yīng)用.NETFramework中的特性來保護(hù)代碼的安全基礎(chǔ)內(nèi)容熟悉.NET開發(fā)LEVEL300課程安排身份驗(yàn)證授權(quán)加密強(qiáng)命名程序集代碼訪問安全中間層安全如何避免SQL注入身份驗(yàn)證使用Credential來唯一標(biāo)明一個(gè)用戶可以使用MicrosoftWindows的集成身份驗(yàn)證，使用用戶登錄Windows時(shí)的用戶憑證編寫自己的用戶身份驗(yàn)證的程序，應(yīng)用程序來管理用戶憑證。接口和

類System.Security.Principal.WindowsIdentity.

GetCurrent().Name演示一AuthenticationAuthorization使用基于角色的安全可以通過編程實(shí)現(xiàn)基于角色的授權(quán)角色可以代表商業(yè)流程中的工作職責(zé)，例如：秘書、經(jīng)理、管理員、總監(jiān)等用角色的方式來管理用戶會(huì)更加簡便如何使用基于角色的安全PrincipalPermissionAttrivute和SecurityAction.Demand<PrincipalPermission(SecurityAction.Demand,

Authenticated:=True,_

Name:=Nothing,Role:=“Administrator”)>_

PublicClassAdminClass

…IPrincipal.isInRole()lblBossMan.Visible=_

Context.User.IsInRole(“BossMan”)tbToBeChangedOnlyByQueenBee.ReadOnly=Not_

Context.User.IsInRole(“QueenBee”)演示二Authorization加密加密將字節(jié)打亂對(duì)稱加密與非對(duì)稱加密對(duì)稱加密適用一個(gè)相同的密鑰進(jìn)行加密/解密非對(duì)稱加密使用一個(gè)密鑰對(duì)進(jìn)行加密/解密，加密與解密的密鑰是不同的（公鑰/私鑰對(duì)）非對(duì)稱加密算法更加安全對(duì)稱加密算法更加高效名稱空間如何進(jìn)行密鑰管理演示三加密CodeAccessSecurity最低權(quán)限的策略CodeGroup——按照邏輯分類的代碼組合CodeGroup可以按照多種方式劃分

URL，strongname，zone，etcPermissionSets——許可集，用來定義代碼能夠訪問的資源：文件I/O，IsolatedStorage獨(dú)立存儲(chǔ)，SQL客戶端，等等。LinkdemandsDemoFour代碼訪問安全強(qiáng)命名應(yīng)用程序集使用sn.exe工具來創(chuàng)建強(qiáng)命名公鑰/私鑰對(duì)，并存儲(chǔ)在文件當(dāng)中：

sn.exe–kNorthwind.snkAssemblyKeyFileAttribute

<Assembly:AssemblyKeyFile(_

“c:\keys\Northwind.snk”)>優(yōu)勢可以被裝載到GAC當(dāng)中Side-by-side部署，支持多個(gè)版本的應(yīng)用程序集在編譯時(shí)，.NET的客戶端代碼使用了強(qiáng)命名應(yīng)用程序集，在運(yùn)行時(shí)能夠有效地防止裝入“木馬”應(yīng)用程序集DelayedSigning私鑰保密性，確保開發(fā)團(tuán)隊(duì)中的多個(gè)組建使用相同的強(qiáng)命名只導(dǎo)出公鑰

sn-pNorthwind.snkNorthwindPublicOnly.snk

<Assembly:AssemblyKeyFile(_

“c:\keys\NorthwindPublicOnly.snk”)>

<Assemble:AssemblyDelaySign(True)>Sn-Vr<assemblyname>：關(guān)閉對(duì)只擁有公鑰的強(qiáng)命名應(yīng)用程序集進(jìn)行驗(yàn)證Sn-R<assemblyname><keyfilename>：在發(fā)布之前對(duì)應(yīng)用程序集進(jìn)行緩簽名LinkDemands連接請(qǐng)求發(fā)生在外部的代碼對(duì)本應(yīng)用程序集進(jìn)行調(diào)用的時(shí)候名稱空間例如：StrongNameIdentityPermission屬性從某個(gè)應(yīng)用程序集中提取公鑰標(biāo)示（一個(gè)十六進(jìn)制的字符序列）

sn-TpNorthwindModel.dll例如：

StrongNameIdentityPermission(_

SecurityAction.LinkDemand,_

PublicKey:=“002400000…d6”,_

Version:=“”)MiddleTier安全最現(xiàn)成的方法，COM+是最安全的解決方案——與Windows整合并支持配置WebService的安全可以通過HTTPS和IIS安全來控制當(dāng)不能使用IIS安全的時(shí)候，可以使用WS-Security（WebServiceEnhancements的一部分）來保證平臺(tái)之間的WebService安全Remoting安全I(xiàn)IS宿主和TCP，使用IIS安全和HTTPS其他宿主，需要實(shí)現(xiàn)定制的Channel或Sink演示五中間層安全SQL注入SQL注入這種威脅發(fā)生在動(dòng)態(tài)生成SQL查詢語句的時(shí)候，動(dòng)態(tài)生成的SQL語句可能會(huì)被篡改例如：

stringsql=“select*fromuserswhereUserID=‘”+

UserID+“’andpassword=‘”+Password+“’”如果在上面的SQL語句中加入’OR1=1’這個(gè)條件，users表中的所有數(shù)據(jù)將最為結(jié)果返回所有使用動(dòng)態(tài)SQL查詢的應(yīng)用程序都有可能受到這種威脅為了防御這種攻擊，去掉所有的動(dòng)態(tài)SQL查詢：

使用ADO.NET中的SqlParameters演示六防止SQL注入攻擊安全設(shè)計(jì)目標(biāo)最小化攻擊范圍分析具體的攻擊并阻止它們：拒絕服務(wù)攻擊基于文件或目錄的攻擊SQL注入引誘攻擊（Luring）防患于未然，提早預(yù)知新的攻擊使用經(jīng)過驗(yàn)證的安全技術(shù)：身份驗(yàn)證，給予角色的授權(quán)，HTTPS，加密總結(jié).NET包括了強(qiáng)大的內(nèi)建的安全特性具體問題具體分析，根據(jù)情況來選擇安全技術(shù)，編寫安全的基于WindowsForms的代碼不需要絞盡腦汁去發(fā)明新的安全代碼更多信息安全開發(fā)中心

.NET相關(guān)的安全書籍WS-Security

://msdn.microsoft/msdnmag/issues/04/10/ServiceStatio