Perché non è possibile che gli assembly con nome elevato utilizzino assiemi non firmati?

Question

Per firmare un assembly A è necessario assicurarsi che tutti gli assembly B, C, D utilizzati da A siano firmati e quindi tutti gli assembly utilizzati da B, C, D e così via. Non capisco qual è il vantaggio in termini di sicurezza di questo. Penso che dovrebbe impedire la manomissione, ma l'assemblea A può aprire qualsiasi file e questi possono essere manomessi. Lo stesso vale per un server web esterno.

Inoltre, è troppo facile firmare un assembly con un file .snk reso pubblico, eludendo il requisito.

Answer 1

Un altro motivo per la denominazione forte è il controllo delle versioni. Se fai riferimento a un assembly con nome forte, ottieni quella versione specifica e caricherà le sue dipendenze dalle versioni specifiche su cui si basa.

EDIT

Scenario di esempio: Se si mette un assembly nella Global Assembly Cache, deve essere forte di nome per consentire side-by-side delle versioni. Tuttavia, non è possibile inserirlo nel GAC, a meno che non esistessero anche le sue dipendenze (altrimenti non sarebbero in grado di caricare in fase di esecuzione). Affinché questi assembly possano essere caricati in modo affidabile, devono essere chiamati anche in modo sicuro e nel GAC.

Answer 2

È perché l'assembly con un nome elevato implica che è affidabile e i livelli di sicurezza concessi si basano sull'idea che il codice provenga da una fonte legittima. Ciò significa che anche tutti gli altri elementi con cui interagisce devono essere considerati affidabili, poiché vengono eseguiti nello stesso contesto di sicurezza.

Se gli oggetti con un nome fortemente non funzionavano in questo modo, un metodo di attacco sarebbe quello di sostituire gli elementi che non sono firmati con il codice canaglia che l'attaccante desidera eseguire. Il codice errato verrebbe eseguito nel contesto di sicurezza fidata dell'oggetto firmato.

Answer 3

Il punto è che altrimenti si potrebbe sostituire l'assemblaggio B/C/D con uno diverso (hackerato), e A non lo noterebbe mai; li caricherà ed eseguirà il codice. Con una denominazione forte, non è possibile eseguire questa operazione senza la nuova firma del B/C/D compromesso con la stessa chiave o hackerando A.