C#-安全

2023-07-23 07:56:40

分为两种，代码访问安全，基于角色的安全性。

代码访问安全。是代码告诉.net框架，自己（代码）正确执行，需要的权限，.net框架手动分配代码可执行操作方面的权限，代码可列出调用自己需要的权限集合。
基于角色的安全。是根据用户身份，决定是否可访问资源。如windows用户
实现加密。.net框架的CryptoStream类，可用于加密所有输入/输出（I/O）的流和后备存储模型。
下面具体看这3点。
  • 使用代码访问安全
各种权限，已经在.net通过类定义了。如读写文件目录、windows事件目录等。
请求运行代码的最小权限。例如在代码中用特性指定SecurityAction.RequestMinimum包含FileOPermissionAttribute的ALL，用特性指定叫做声明性安全，使用Permission对象的实例指定叫做强制性安全，这种安全只在根据运行时才知道的信息（例如待打开文件的名称）分配权限时才有必要。
代码组。用一个条件，把不同的代码段分组。例如，all code、application directory。
权限集。权限的集合。例如，Nothing、everythiing。
设置权限。有两个工具用来设置权限，1是命令行的代码访问安全策略工具caspol.exe，2是微软管理控制台（microsoft management console）中的工具，在开始菜单-管理工具-Microsoft.Net Framwork Configuration Tool，这个用起来更方便，这里可增删权限集，改权限集中的权限，可增删代码组，设代码组，就是在这里选择一段代码，分配一个权限集。设置权限能从企业（enterprise）、计算机（machine）、用户（user）这3个级别设置，应用程序域只能在代码中设置，而且只能从上级缩小权限。代码属于同级别多个代码组时，取各代码组相加的权限。默认情况下，企业级和用户级都是允许一切，由计算机级控制权限。
查看分配给了代码哪些权限。即查看指定代码组的权限。因有4级权限，设置权限时，可设置查看到哪级权限为止，即每个代码组的levelfinal，例如在计算机的代码组设置了这个属性，就只查看企业级和计算机级，各级别都有的权限，代码才有，如果调用代码的代码没有对应权限，也不能执行。有工具查看权限，用向导，运行库安全策略-计算程序集。
请求运行代码的可选权限。可在代码中用特性设置。代码没有可选权限时，虽然会产生安全异常，但会继续执行。
请求权限集。上述都是请求单个权限，可使用permissionSetAttribute特性，请求.net的内置权限集。
拒绝权限。代码能告诉clr不想拥有的权限。可通过特性设置，与授予不同的是加了个参数UnRestricted=true。被授予对应权限时，将停止运行。
要求权限。当使用自定义权限时，代码可对调用自己的代码，要求调用代码有若干权限。也是通过特性设置。如果是内置权限，.net已默认要求了调用代码需要有对应权限。
  • 使用基于角色的安全性
基于使用代码的windows用户，来分配权限，即根据当前使用代码的用户所在的windows用户组，判断执行哪些代码。开发了基于角色的，可用于开发独立于windows登录系统的自己的登录系统。
    使用两个接口
IIdentity用WindowsIdentity对象实现，代表正在运行当前代码块的用户，可查看用户名和身份验证方法。
IPrincipal用windowsPrincipal对象实现，建立在WindowsIdentity对象上，代表正在运行当前代码用户的安全背景，包括用户的身份和所属的角色。windowsPrincipal对象告诉clr应该分配给代码哪些基于角色的权限。
    验证当前用户所在用户组
windowsidentity wi = windowsidentity.getcurrent();
windowspricipal wp = new windowspricipal(wi);
if (wp.isinrole(windowsbuiltinrole.poweruser())//isinrole方法，windowsbuiltinrole.poweruser枚举

{

}
else
{
}
    也可使用PricipalPermission类或PricipalPermissionAttribute特性查看，用特性时，如果符合特性说明的当前用户属于指定用户组，执行代码，否则，抛出一个安全性异常。可使用PricipalPermissionAttribute类的Name属性查看当前用户的登录名。
  • 加密
    加密方式
对称加密（私钥加密），拥有私钥，即可解密加密文件，为了增大猜测私钥的难度，私钥用各种对称算法生成。稍复杂的一种是解密时需要私钥和初始化向量（IV）。
非对称加密（公钥加密），有一对公钥和私钥，告知对方公钥，用来加密消息，自己持有私钥，用来解密消息。破解起来，比对称加密难得多，公钥和私钥用非对称算法生成。
处理数字签名（验证消息源），哈希值（验证消息是否已被非法修改）。这两种这里不介绍，在.net框架文件的”加密服务“有介绍。
对称加密和非对称加密的使用过程。使用非对称加密，要求在计算加密消息上花费比对称加密多得多的工作量，可以综合使用这两种加密方式，平衡安全性和计算量。具体过程是，A生成一对公钥和私钥，公布给B公钥；？？？；A用私钥解密B发来的对称密钥和IV，？？？
    使用对称加密，加密一个文件
这个文件可以是待保存到的本地文件（加密后保存到filestream），或待通过网络传送的文件（加密后保存到networkstream）。.net框架使用基于流的方法加密，用CryptoStream对象管理加密。
using system.security.cryptography;
....
filestream fsout = file.create(@"本地目录和文件名");
tripleDESCryptoServiceProvider tdes = new tripleDESCryptoServiceProvider （）；//创建一种加密算法提供者，并生成密钥
CryptoStream cs = new CryptoStream（fsOut, tdes.createEncryptor（），CryptoStreamMode.Write）；//创建加密算法提供者对应的加密管理器，这个管理器是个流对象，同时指定这个加密流对象对应的，在加密后保存文件的流，设置为写入加密后的信息。
streamWriter sw = new streamWriter（cs）；//格式化加密流的输出。
sw.write(".....");
sw.flush();
sw.close(();
filestream fsKey = ？？？//读取密钥。
//保存密钥到本地文件。
BinaryWriter bw = new BinaryWriter（fsKey ）；
bw.write(tdes.key);
bw.write(tdes.IV);
bw.flush();
bw.close();
...
    解密一个经过对称加密的文件
同样使用CryptoStream对象。
...
filestream fsKey = file.read(@"本地目录和文件名");//读取密钥。
binaryReader br = new binaryReader（fsKey）；//格式化输出读取的密钥
tripleDESCryptoServiceProvider tdes = new tripleDESCryptoServiceProvider （）；//创建一种加密算法提供者
//改写密钥和初始常量成读取出来的。因创建时自动生成一个，所以说改写。
tdes.key = br.readBytes(24);
tdes.IV= br.readBytes(8);
filestream fsIn = file.openRead(@"本地目录和文件名");//读取被对称加密的文件
CryptoStream cs = new CryptoStream（fsIn, tdes.createEncryptor（），CryptoStreamMode.Read）；//创建加密算法加密管理器，设置为解密fsIn，tdes中有对应的密钥和初始常量。
SrteamReader sr = new SrteamReader（cs）；//用来格式化输出加密管理器解密的文件内容。
console.writeLine(sr.readToEnd());
sr.Close();
...
    使用非对称加密
非对称加密一般用于处理小量数据而不是数据流，所以可以直接调用实现类的方法来执行加密和解密。对称加密一般用于处理数据流。
...
RSACryptoServiceProvider rsa = new RSACryptoServiceProcvider();
Byte[] testData = {待加密数据1，待加密数据2}; 
Byte[] encryptedData = rsa.Encrypt(testData , false) ;//使用非对称算法提供者的方法，加密数据。严格来说，使用了哪一种或哪几种算法加密，使用多种算法时的顺序，都是保密的，不然可以通过程序解密。
Byte[] decryptedData = rsa.Decrypt(testData.false);//使用非对称算法提供者的方法，解密数据。
...

随机推荐

  1. 使用Microsoft Web Application Stress Tool对web进行压力测试

    Web压力测试是目前比较流行的话题,利用Web压力测试可以有效地测试一些Web服务器的运行状态和响应时间等等,对于Web服务器的承受力测试是个非常好的手法.Web 压力测试通常是利用一些工具,例如微软 ...

  2. SQL Server 2014新特性探秘(1)-内存数据库

    简介    SQL Server 2014提供了众多激动人心的新功能,但其中我想最让人期待的特性之一就要算内存数据库了.去年我再西雅图参加SQL PASS Summit 2012的开幕式时,微软就宣布 ...

  3. ExAllocatePool、ExAllocatePoolWithTag

    PVOID p = ExAllocatePool(Pool_Type, Size); PVOID p = ExAllocatePoolWithTag(Pool_Type, Size, Tag); 调用 ...

  4. [Js]Ajax

    一.什么是Ajax 不刷新的情况下读取数据或提交数据 (最早出现ajax:谷歌地图,拖动一下出现一片新的视野) 应用:用户注册.在线聊天.微博 特性:只能从服务器上去读取数据(所以我们需要配置自己的服 ...

  5. Linq中SingleOrDefault、FirstOrDefault的用法

    1.SingleOrDefault和FirstOrDefault的区别 SingleOrDefault 只取一个 如果没有数据等于 null, 如果>1  异常 FirstOrDefault   ...

  6. 数据库系统概论 SQL

    --(一)创建教材学生-课程数据库 create database s_c go use s_c go --建立“学生”表Student,学号是主码,姓名取值唯一. CREATE TABLE Stud ...

  7. 第2章 熟悉Eclipse开发工具---- System.out.println("sum="+(a+b));

  8. 最近在线笔试的一些感想和总结，阿里巴巴，腾讯，百度，360。c++研发，机器学习等岗位

    持续更新中... 1.编程界牛人太多了,还是要好好a题,好好弄清楚基础算法,并且用代码实现 2.c/c++方向其实来回来去那么几道题,做好了记到脑子里. 下面就是我打算把不会的,不清楚的都贴上来然后好 ...

  9. RequireJS模块化编程详解

    1.模块的写法 模块化编程一般都有这么几个过渡过程,如下描述. 原始方法 function m1(){ //... } function m2(){ //... } 上面的函数m1()和m2(),组成 ...

  10. 远程桌面 把explorer关掉了

    用Ctrl+Alt+End调出远程桌面的任务管理器.然后,运行explorer.exe即可重启该服务.

上一篇：1001. A+B Format


下一篇：try、catch、finally的使用分析---与 return 相关