問題タブ [security]

IE7がサイトに使用するセキュリティゾーンを決定する方法を知っている人はいますか？IE6の基本はここにありますが、IE7に相当するものが見つかりません。

.NETセキュリティポリシーは、CasPol.exeを使用してスクリプトから変更できます。ローカルネットワーク上の複数のユーザーにアプリケーションを配布するとします。これらのユーザーのほとんどは、特権のない標準アカウントであるため、関連するコマンドに必要な権限を持っていません。

ドメインログオンスクリプトを調べてみようと思います。代替シナリオはありますか？ドメインのないネットワーク向けのソリューションはありますか？

編集：私はFrameworkバージョン2.0を使用する必要があります

クライアントの 1 つは McAfee ScanAlert (つまり、HackerSafe) を使用しています。基本的に、セキュリティ ホールを探して、1 日約 1500 件の不正なリクエストでサイトにアクセスします。悪意のある動作を示しているため、いくつかの不適切なリクエストの後にブロックしたくなるかもしれませんが、UI を実行させたほうがよいかもしれません。終わらせないと本当の試練なの？

boo.exe（ドライブにマップされた）ネットワーク共有から.NETアセンブリ（）を実行しようとすると、部分的にしか信頼されていないため失敗します。

ブログ投稿の指示に従ってfile:///H:/*、URLとしてすべてのアセンブリを完全に信頼するポリシーを.NET構成に追加しました。.NET構成のEvaluateAssemblyツールにURLfile:///H:/boo-svn/bin/boo.exeを入力し、boo.exeに無制限のアクセス許可（ポリシーの前にはなかった）があることに注意して、これを確認しました。

許可があっboo.exeても実行されません。それでも同じエラーメッセージが表示されます。

この問題をデバッグするにはどうすればよいですか？実行するアセンブリごとに何かを変更することなく、ネットワーク共有から「部分的に信頼できる」アセンブリを実行する別の方法はありますか？

2台のWindowsベースの非ドメインマシン上のファイルとフォルダをパブリックネットワーク全体で同期させる必要があります。

SSH経由でrsyncを考えていましたが、もっと簡単な解決策があるかどうか疑問に思っていました。SFTP / SCP / SSH経由で同期フレームワークを使用する可能性はありますか？

それとも私はより良いアイデアを受け入れていますか？

スプレッドシートのような計算を実装するための「安全な」eval関数を探しています（numpy / scipyを使用）。

これを行う機能（rexecモジュール）は、明らかに修正不可能なセキュリティ問題のため、2.3以降Pythonから削除されました。これを行うことを目的としたサードパーティのハッキングがいくつかあります。私が見つけた最も考え抜かれた解決策は 、このPythonCookbokレシピ「safe_eval」です。

悪意のあるコードから保護するためにこれ（または同様のもの）を使用する場合、私は合理的に安全ですか、それとも自分のパーサーを書くことに固執していますか？誰かがより良い代替案を知っていますか？

編集：Zopeの一部であるRestrictedPythonを発見しました。これについてのご意見は大歓迎です。

SOがオンラインになるのを見るのは、私にとってかなりの教育でした. Web サイトに対して使用されるさまざまな脆弱性とエクスプロイトのチェックリストを作成したいと思います。また、それらを防御するために使用できるプログラミング手法は何ですか。

• 脆弱性のどのカテゴリ?
  • 墜落現場
  • サーバーに侵入する
  • 他人のログインに侵入する
  • スパム
  • ソックパペッティング、ミートパペッティング
  • 等...
• 防御的プログラミング手法にはどのようなものがありますか?
• 等...

さて、私はプライベートネットワーク上で小さなテストウェブサーバーを実行しています。Windows 2000 Proを実行しているマシンがあり、IISを介してASP.NETアプリを実行しようとしています。

Webページがレジストリを使用して特定の設定（接続文字列、他のWebサービスの揮発性の可能性のある場所、特定の情報が保存されているローカルファイルシステム内のパスなど）を格納するように作成しました。もちろん、テスト時には正常に機能しました。 VStudio.NET 2005では、アプリを実行しているユーザーが昇格された特権を持っているためです。ただし、IISで実行すると、「レジストリキー'HKEY_LOCAL_MACHINE \ Software'へのアクセスが拒否されました。」というメッセージが表示されます。これは、IISユーザーがレジストリのその部分への読み取りアクセス権を持っていないことを示しています（Webサイトからの読み取りのみを行います）。それ自体、決して書き込みません）。

私は「わかりました、十分に単純です。regeditを介してレジストリのその部分に対するそのユーザー権限を付与します」のようでした。問題は、セキュリティ設定を変更するオプションがregeditのどこにも表示されないことです...まったく。それは私に考えさせられました...私はこれまでレジストリハイブ/キーのセキュリティ設定を実際に変更する必要がなかったと思います、そして私はそれを行う方法を知らないと思います。

後でウェブを検索して30分経ちましたが、このテーマに関する有用な情報は見つかりませんでした。私が疑問に思っているのは...レジストリの一部に対するセキュリティ権限をどのように変更するのですか？私は困惑していて、グーグルで答えを見つける能力が私を完全に失敗させているようです...そして私はここでサインアップしたばかりなので、ここの誰かが知っているかどうか見るだろうと思いました。=）

ネットワーク共有からファイルを読み取る (場合によっては書き込む) 必要がある Web アプリケーションがあります。これを行うための最良の方法は何だろうと思っていましたか？

ネットワーク サービスまたは aspnet アカウントにネットワーク共有へのアクセス権を付与できません。なりすましが使えるかもしれません。

ネットワーク共有と Web アプリケーションは両方とも同じドメインでホストされており、特にこの目的のためにドメインに新しいユーザーを作成できますが、ファイルストリームの作成と使用する資格情報の指定の間のドットを結合する方法がよくわかりませんウェブアプリケーションで。

残念ながら、ドライブはマシン上のネットワーク ドライブとしてマップされていません。ネットワーク共有としてのみ使用できるため、透過的な呼び出しを行うことができません。

なりすましについて考えられる問題が 1 つあります。アプリケーション ドメインごとに 1 人のユーザーしか偽装できないと思いますが、修正されてうれしいです。このファイルをいくつかの異なる共有に書き込む必要があるかもしれません。つまり、複数のユーザーになりすます必要があるかもしれません。

トークンを作成するというアイデアが気に入っています...それができれば、事前にユーザーに資格情報を要求し、セキュリティを動的に適用して、アクセスが拒否された場合に意味のあるエラーメッセージを表示できます...私は遊びに行っていますが、アップデートで戻ってきます。

Java でクラスの投票デスクトップ アプリケーションを構築するプロジェクトがあります。このプロジェクトの焦点はセキュリティではありませんが、できる限り現実的なものにしたいと考えています。セキュリティを Java アプリケーションに統合するための主要なツールは何ですか。

編集: 私は主に物理的なセキュリティについて心配しているわけではありません。システム全体ではなく、単にアプリケーションを構築しているだけです。投票が正しく記録され、他の人が変更したり読んだりできないようにしたい.