Silverlight安全吗？

Question

我们需要一个在最终用户的机器上运行的应用程序并为我们提供分数结果，并且我们需要结果准确（即未被篡改）。 目前，Flash和Silverlight之间存在争议，看起来Silverlight将成为赢家。

除了最终用户机器上的任何东西必须最终被认为是非法的激励之外，攻击SilverLight应用程序有多难？ 我知道这取决于代码的编写方式等等，我的问题是攻击底层平台有多难。 有没有关于像执行Silverlight应用程序和改变运行代码（或其他一些方法）这样的事情的文章？ 我在想像插入其他可执行代码的缓冲区溢出攻击？

我还听说Flash应用程序很难攻击内存并执行任意代码。 这是真的？

Answer 1

我的理解是Silverlight运行在名为CoreCLR的公共语言运行时（CLR）版本上。 与在浏览器中运行的任何应用程序一样，主要安全方案是防止恶意代码攻击应用程序的其他实例或用户计算机上的应用程序/数据。

您描述的这种情况与此不同，我想说主动措施几乎没有阻止您的代码被劫持。 知识如何的用户可以在汇编级别轻松编辑代码。

您可以尝试通过以下方式缓解这些攻击：

• 阻止访问复杂的调试工具（除非您控制客户端计算机，否则无法访问）。
• 为每个用户甚至每个会话生成混淆或随机的silverlight代码。 从理论上讲，这可能会阻止用户共享黑客攻击。 如果您可以使代码超时，则在30分钟后使其变得陈旧，您将使其变得更加困难。
• 减少应用程序中的逻辑数量，并在服务器端使用Web服务提供。

专家攻击者攻击Flash VM中的应用程序就像攻击Silverlight一样容易。

Answer 2

在用户计算机上运行的任何内容都可以进行修改。 它只是用户努力的问题。

如果你想寻找一些例子，有无数关于如何“破解”Flash游戏的教程。

Answer 3

无论您在客户端和服务器之间进行通信的机制是什么，都可能是可以攻击的。 即使您使用SSL，用户也可以执行中间人攻击（安全性由浏览器处理，因此如果用户覆盖SSL证书，则允许），以访问您的数据协议。

Answer 4

作为特定场景中的攻击者，我首先考虑只运行一个代理，该代理将从应用程序发送的数据内容修改回您的站点。 在我努力破坏可执行文件本身之前，我会尝试这么久。 即使使用加密，从应用程序中提取证书/密钥以便代理也可能更容易，而不是完全颠覆可执行文件。

Answer 5

说实话，我认为这两个平台都是安全的。 直到今天，我还没有意识到 Silverlight（1.0或2.0）曾经存在任何安全漏洞。 也就是说，如果在任何平台上发现任何平台，我相信两者都会很快得到解决。

但是，有一个问题要问你。 您为什么要在客户端计算机上存储任何东西而不是托管服务器？ Silverlight 2.0具有.NET框架的特殊“修剪”实现，据我所知，出于安全原因，已删除所有文件系统访问。

Answer 6

我认为Silverlight在沙盒方面相当不错，但它很新，因此从安全角度来看，它不太可能像Flash一样深入探索。

如您所知，您将无法在客户端上找到有保障的安全平台，因此智能资金用于确保您的数据以非常难以妥协的方式在两者之间传递。

Answer 7

我同意foxxtrot的说法，Silverlight应用程序和服务器之间的通信将与任何其他Web服务架构一样安全。 这是您的主要攻击媒介，因为客户端恶意软件在Silverlight的情况下不太可能导致问题，至少不会窃取数据。

您可以加密Web服务调用，并可能尽可能远离客户端证书，以防止虚假发布到您的Web服务。

Answer 8

下载关于silverlight安全性的白皮书。 告诉你所有你需要知道的事情：

编写和部署Silverlight Applications的安全指南.docx： http ： //www.microsoft.com/downloads/details.aspx？ displaylang = en＆FamilyID = 7cef15a8-8ae6-48eb-9621-ee35c2547773

如果你无法打开docx，只需删除'x'，它将在word 2003中打开;-)

作为一个