Microsoft .NET 2.0 Code Access Security (3)

OK, zoals je in de twee voorgaande blogs kan nalezen: ik wilde in mijn ASP.NET website een client-side .NET user control toegang geven tot het lokale bestandssysteem. Voor het gemak wilde ik deze assembly dus Full Trust geven. Ik kon daar geen gebruikersvriendelijke manier voor vinden.

De manieren die ik heb op kunnen maken uit de geraadpleegde bronnen om een assembly Full Trust te geven:
  1. Via de .NET Framework 2.0 Configuration MMC snap-in (mscorcfg.msc);
  2. Via het uitvoeren van een specifieke caspol.exe opdrachtregel;
  3. Via het uitvoeren van een mooi voorbereid Windows Installer Package .MSI bestand;
  4. Via het direct toevoegen van je permission rule aan het configuratiebestand security.config.

Ik heb ze allevier uitgeprobeerd.

1. MMC snap-in ---

De MMC snap-in werkt mbv wizards. Dat is wel zo prettig. Twee wizards zijn hier relevant:

  1. Increase Assembly Trust;
  2. Create Deployment Package.

Ad 1. Geef hier rechtstreeks de url op van de assembly die je Full Trust wilt toekennen. Blijkt dat je assembly wel strongly signed moet zijn! Logisch ook, anders kan iedere willekeurige assembly op van die lokatie wordt gedownload per ongeluk Full Trust krijgen.

Ad 2. Middels de MMC snap-in is dit de enige manier om settings te exporteren en op een andere computer te importeren. Deze wizard genereert een MSI met daarin de volledige security.config. Niet echt heel handig want je wilt specifiek maar één instelling wijzigen.

Het lompe van de MMC snap-in is dat je niet echt inzicht krijgt in waar de wizard precies zijn instellingen heeft weggeschreven. Daaraan toegevoegd het feit dat je gewoon keer op keer opnieuw je assembly FullTrust kan geven. De MMC snap-in helpt je dus niet echt in het vergaren van inzicht.

2. Caspol ---

Ik ging kijken naar caspol.exe. Ik voerde caspol.exe -m -af uit. Caspol zei netjes "Success". Bij de tweede keer uitvoeren de melding: ERROR: This assembly is already fully trusted.

Blijkt echter dat IEHost zich weinig aantrekt van deze status. IEHost genereert nog steeds een exception. Klaarblijkelijk zag ik hier iets over het hoofd. Caspol is dus ook niet een tool die een beginner echt op weg helpt.

3. MSI ---

Ik heb nog even vluchtig gekeken of ik een eenvoudige MSI kon genereren met één instelling erin. Ik heb een aantal MSI unpackers geprobeerd, maar na een paar pogingen begon ik me te realiseren dat MSI eigenlijk een vrij obscuur "database" formaat is waar ik misschien maar niet te veel tijd in moest steken.

4. Security.config ---

En dan komen we eindelijk uit waar ik wezen wilde, inzicht! Security.config is zoals alle config-files binnen het .NET framework xml-gestructureerd.

Ik gok erop dat er op drie niveaus een security.config leeft:

  1. Enterprise;
  2. Machine;
  3. User.

Ik richt me nu even op het machine-niveau, maar ik neem aan dat het volgende inzicht ook van toepassing is op het user-niveau.

Security.config blijkt te bestaan uit vier blokken gekenmerkt door de volgende elementen:

  1. SecurityClasses; hierin staan .NET classes verantwoordelijk voor het interpreteren van verdere xml data in het bestand;
  2. NamedPermissionSets; een reeks PermissionSets waaronder de PermissionSet "FullTrust";
  3. geneste CodeGroup elementen, waaronder de door de MMC snap-in wizard gegenereerde codegroup "Wizard_0" met omschrijving "Codegroup generated by the .NET Configurationtool";
  4. FullTrustAssemblies; een hele lijst assemblies met fully trusted status.

Caspol blijkt de drie laatste blokken netjes te kunnen listen:

  1. Caspol -lp; list permissionsets;
  2. Caspol -ld; list codegroups met descriptions;
  3. Caspol -lf; list fully trusted assemblies.

Standaard opereert caspol op het niveau van de machine.

Ik keek naar de codegroup die door de snapin wizard was toegevoegd:

<codegroup class="UnionCodeGroup" description="Codegroup generated by the .NET Configuration tool" version="1" permissionsetname="FullTrust" attributes="LevelFinal" name="Wizard_0">

<imembershipcondition class="StrongNameMembershipCondition" version="1" name="Upload" publickeyblob="ABC..." assemblyversion="1.0.2749.38494">

</codegroup>

En jawel! De puzzelstukjes vielen in elkaar: Een assembly met naam Upload met publickey ABC... en versie 1.0.2749.38494 wordt door het systeem gezien als member van de permissionset FullTrust. En dat wilden we bereiken!

Maar goed, leuk al dat inzicht maar dat brengt me nog niets verder. Ik heb nog steeds geen gebruikersvriendelijke manier om de gewenste permissies te vragen.

Misschien naar .NET ClickOnce kijken? Ik gok erop dat dit niet werkt in combinatie met ASP.NET. ClickOnce richt zich op geïsoleerde Windows Forms applicaties die direct kunnen worden gestart door te klikken op een link à la Java Web Start van Sun.

Is het mogelijk om een MSI te bakken die maar één codegroup toevoegt aan security.config?

In de tussentijd plaats ik op mijn website maar een batchfile met daarin een caspol-opdracht...

Of toch met SilverLight aan de slag?

Reacties

Een reactie posten

Populaire posts van deze blog

Exploring advanced DOM interop with Blazor WebAssembly

Afbeelding
With the establishment of WebAssembly in the browser space, JavaScript is not the only option anymore to run code in the browser. You can start building your modern web applications in any language of choice. Recently Microsoft has released the first version of Blazor WebAssembly. It enables you as a .NET developer to run .NET code through WebAssembly. Blazor also comes with a websocket based server model. You can check out Blazor on Microsoft Docs: https://docs.microsoft.com/en-us/aspnet/core/blazor I have been building a couple of Blazor experiments myself, of which the following two stand out: Real-time Blazor server web app. I have added a second SignalR hub to this app in order to communicate signals from one Blazor session to another. [ Blogged ] [ Source code ] [ Try it online ] Deep zoom (perturbation based!) Mandelbrot with Blazor Source code . If I find time I will blog about all my adventures to getting this deep zoom Mandelbrot to work! Try it online It was the latt...
Meer lezen

Extend Azure DevOps with Azure Functions

Afbeelding
With Azure DevOps, Microsoft provides a rich platform for building your continuous integration and continuous delivery (CI/CD) workflows. Refer to https://azure.microsoft.com/en-us/services/devops/ Our CI/CD design Lately we came up with the following CI/CD design: Notice the following features: When a feature branch is created, an app service slot is created and the feature workload is deployed to this slot; When a feature is merged with master, the slot gets removed and the master workload gets deployed to the production slot. Learn more about Azure App Services and its deployment slot feature here: https://docs.microsoft.com/en-us/azure/app-service/deploy-staging-slots Implementation In order to learn how to set up the above workflow you can read the following excellent blog post of Lucas Caljé: https://levelup.gitconnected.com/manage-appservice-slots-with-azure-yaml-pipelines-3fb2a2e5da9a Interestingly, Lucas' solution does not require any external integratio...
Meer lezen

Azure Custom Role Definitions and Assignment Scopes

Afbeelding
Working with custom Role Definitions in Azure can be a funny thing. Interestingly, when reviewing the Azure Active Directory user interface in Azure Portal you will not find a way to query all available role definitions. If you query the Roles and Administrators view you will only see administrator roles: With a PowerShell cmdlet you are able to list all. Get-AzRoleDefinition | select name | sort name | ft results in something like the following: Name ---- AcrDelete AcrImageSigner AcrPull AcrPush AcrQuarantineReader AcrQuarantineWriter API Management Service Contributor API Management Service Operator Role API Management Service Reader Role App Configuration Data Owner ... But are these really all the role definitions out there? Obviously not! This list is scoped to the subscription you are currently targeting with your current Azure Context. In order for you to try out yourself, just create a couple of role definitions with various assignment scopes. Assuming you have owne...
Meer lezen