silverlight - 我是否认为SilverLight Out Of Browser作为安全漏洞具有很高的潜力？

时间：2011-02-01 13:20:55

标签： silverlight security silverlight-oob

使用silverlight创建一个OOB非常简单，我认为这是一件好事。但是，创建一个需要更高权限的应用程序也很容易，只需单击一下，用户就可以“允许”程序在他的计算机上执行所有操作。

我说错了吗？我是否正确地认为我们已经回到了IE 6，那时执行有害的activex非常容易？

“桌面”.Net框架使用代码访问安全性来减少威胁边界。 SL也是吗？

答案 0 :(得分：5)

Silverlight实现了许多缓解措施，使其不像你想象的那么可怕。

默认情况下，OOB应用程序是沙箱 - 因此大多数应用程序的权限不应超过浏览器中的应用程序所具有的权限。
OOB应用程序（在Windows上）在启动时故意限制其安全令牌，因此即使以管理员身份启动，他们也会剥夺管理员权限并重新启动（sllauncher.exe执行此操作，该应用程序没有发言权在它）。
可以在HKLM级别设置一个注册表项，允许企业网络的管理员禁止所有OOB应用程序的安装，或者仅禁止安装（或运行）受信任的应用程序。因此，使用一些小组策略，用户甚至无法运行它们 - 与EXE相比，它们肯定可以在自己的安全环境下运行。

答案 1 :(得分：3)

Silverlight OOB不是Web Apps的替代品，而是Desktop Apps的替代品 SL确实使用与Fx4相同的CAS（比Fx 35和之前略低）。

所以它肯定不比替代品差，有可能使它更安全。

答案 2 :(得分：2)

信任 Windows 上的Silverlight OOB应用程序应视为与EXE一样危险。这是因为在COM互操作的帮助下，它可以将EXE文件下载到用户的计算机并执行它。