Silverlight_Security.doc

Silverlight_Security 本文由LionGG贡献 pdf文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。 Silverlight 安全性概览 尼克 克莱尔（ Nick Kramer ） , 微软公司 –2010 四月 摘要： 网络上的安全仍然是用户和企业的一致关切的重要问题。随着现在越来越多的日常活动都向 网络迁移，网络应用呈爆炸性增长，这导致网络的安全性变得日益重要，所以很多网站采用 了微软 Silverlight 这样的 Web 开发平台。 在这种环境中，一个真正安全的应用程序需要 健壮稳定的平台和专业严谨的设计人员。 本文档介绍如何建立一个安全的 Silverlight 应用程序，使我们的 Silverlight 网站免于遭受恶意 攻击。 目录 1. 2. 简介 ……错误！未定义书签。 如何保护 Silverlight 的最终用户不受恶意网站的侵害 …… 3 2.1. 2.2. 2.3. 2.4. 2.5. 3. 沙箱的功能和限制 …… 4 网络 …… 5 浏览器外的应用程序 …… 6 Silverlight 的安装与更新 …… 7 实施沙箱 …… 7 使用 Silverlight 创建安全的 Web 站点 …… 7 3.1. 跨站点脚本 (XSS) …… 7 3.2. 3.3. 3.4. 3.5. 3.6. 3.7. 3.8. 3.9. 3.10. 从 HTML / JavaScript 中隔离 Silverlight …… 8 从 Silverlight 代码中分离其他 Silverlight 代码 …… 9 Silverlight 应用程序之间的数据传送 …… 9 防止未经授权的重用你的.xap 文件…… 9 服务端输入验证 …… 10 对.xap 文件的信息保护…… 10 独立存储的数据保护 …… 10 受信任的应用程序的注意事项 …… 10 使用保障安全的 API …… 12 4. 5. 结论 …… 12 附加资源 …… 13 Silverlight 安全性概览 第2页 1. 简介 Silverlight 是功能强大的开发平台，能够增强各种应用程序（Web、桌面或移动等应用程序）中的 用户体验、交流与互动。 Silverlight 是一个免费的插件，内置了.NET 框架并兼容多种浏览器、设 备和操作系统，给用户带来 Web 领域新一代的用户体验与交互理念。 在 Web 浏览器中 ，Silverlight 应用程序内嵌在一个 HTML 页面中，由一个object的 HTML 标记指 向 Silverlight 应用程序。Silverlight 应用程序被打包成的.xap 文件（发音为“zap”），这是一个包含 托管代码、.DLL 文件以及 XAML 文件（发音为“zammel”）的 zip 文件。其中，XAML 是 XML 格式的 文件，用来绘制矢量图形和用户界面。 Silverlight 应用程序可以运行在三个不同的安全模式: 在浏览器中(In browser) ——应用程序作为网页的一部分运行，并像网页中其他内容一样受 到沙箱保护。 浏览器外——沙箱(Out of browser – sandboxed) ——应用程序可以运行在浏览器中，同时 也可以安装到用户的开始菜单。在安装前，Silverlight 会提示用户是否安装 Siverlight 应用 程序。在沙箱中的应用程序即使运行在浏览器外，也具有与浏览器中运行的应用程序相同 的安全限制。 浏览器外——受信任的应用程序(Out of browser - trusted applications) ——和浏览器外的沙 箱一样，这些应用程序可以以浏览器中的安全限制在浏览器中运行。但不同的是，当受 信任的应用程序被安装并在浏览器外运行时，应用程序将具有额外的权限。这个权限可以 被用户授予，也可以由企业环境中的组策略来设置。从安全角度来看，运行此 应用程序 级的 Silverlight 就类似于运行一个.exe 文件。它有权访问系统文件中的子文件夹（“我的文 档”），以及调用 COM 组件。 2. 如何保护 Silverlight 的最终用户不受恶意网站的侵害 Silverlight 遵循网络安全的基本原则，并为用户提供使用额外的安全功能。Silverlight 首先假设所有 网页/浏览器中的应用程序都有潜在的威胁，然后将他们运行在一个沙箱中——只允许这些应用程 序做被证明是安全的事情。Silverlight 继承并扩展了当前浏览器中的沙箱功能——它有一个额外的 功能，如果没有安装 Silverlig