silverlight - 我是否认为 SilverLight Out Of Browser 具有很高的安全漏洞潜力？

Question

使用 silverlight 创建 OOB 非常容易，我认为这是一件好事。但是，创建需要更高权限的应用程序也很容易，只需单击一下，用户就可以“允许”该程序在他的计算机上执行所有操作。

我对么？当执行有害的 activex 如此容易时，我是否觉得我们回到了 IE 6 的时代？

“桌面”.Net 框架使用代码访问安全性来减少威胁边界。SL也是吗？

score 5 · Accepted Answer

Silverlight 实施了许多缓解措施，以使这种情况不像您想象的那么可怕。

默认情况下，OOB 应用程序是沙盒化的 - 因此它们中的大多数不应拥有比浏览器内应用程序更多的权限。
OOB 应用程序（在 Windows 上）在启动时有意限制其安全令牌，因此即使以管理员身份启动，它们也会剥夺自己的管理员权限并重新启动（sllauncher.exe 执行此操作，应用程序没有发言权）。
可以在 HKLM 级别设置一个注册表项，允许公司网络的管理员禁止所有 OOB 应用程序的安装，或仅禁止安装（或运行）受信任的应用程序。因此，使用一点组策略，用户甚至无法运行它们，如果他们愿意的话 - 与 EXE 相比，他们肯定可以在自己的安全上下文下运行。

score 3 · Accepted Answer

Silverlight OOB 不是 Web 应用程序的替代品，而是桌面应用程序的替代品。
SL 确实使用与 Fx4 相同的 CAS（比 Fx 35 和之前的版本略少）。

因此，它肯定不会比其他替代品差，有可能使其更安全。

score 2 · Accepted Answer

Windows上受信任的 Silverlight OOB 应用程序应被视为与 EXE 一样危险。这是因为在 COM 互操作的帮助下，它可以将 EXE 文件下载到用户的计算机并执行它。

3 回答 3