Tag: security

NetSqlAzMan vs AzMan vs（?????）: 我一直试图“在线之间阅读”关于NetSqlAzMan项目的原始（和/或当前）动机。这是写的吗？适用于Windows授权管理器（AzMan）的适配器。 NetSqlAzMan中的方法只是将调用传递给（Windows授权管理器（AzMan）），但可能使用更好/更清晰的方法？（Windows授权管理器（AzMan））的替代品。在（Windows授权管理器（AzMan））中可用的function（大部分或全部）在NetSqlAzMan中重新创建，但代码是独立开发的。（也许是为了提供DotNet 4.0支持???）（也许是为了删除任何COM依赖项）提供比（Windows授权管理器（AzMan））提供的更多function。 Aka，（Windows授权管理器（AzMan））的“更智能”/“更好”版本。重写，但通过开源保持一个半死的项目。（可能是（Windows授权管理器（AzMan）））是微软的一个死的或被遗弃的项目。其他？ ……………. 我喜欢NetSqlAzMan的对象模型。但我需要捍卫任何将其用于我的项目经理和其他开发人员的决定。对象模型似乎“恰到好处”（想想金发姑娘和中间床）就我对安全的渴望而言。我不想做基于角色的安全性。我想要正确（或任务或许可）的安全性。（参见： http ： //lostechies.com/derickbailey/2011/05/24/dont-do-role-based-authorization-checks-do-activity-based-checks/和http://granadacoder.wordpress.com/ 2010/12/01 / rant-hard-coded-security-roles / ）基本上提出的问题是：“使用NetSqlAzMan而不是（Windows授权管理器（AzMan））有什么好处？” 子问题是“Windows授权管理器（AzMan）死了吗？”。（还有Long Live NetSqlAzMan的内容！）。 ……………… 我的一般要求是：非Active Directory用户。（在路上Active Directory和/或LDAP支持会很好，但不是必需的）。密码未存储为纯文本。能够处理安全检查的权利。将权利归入任何角色。为用户分配角色。（但同样，代码将检查权限，而不是执行操作时的角色。）允许（有时）将权限分配给用户。使用拒绝覆盖。（Aka，一个做愚蠢事情的用户（比如“删除员工”）可以撤销该权利。）可以为多个应用程序维护角色和权限。所以欢迎其他想法。但Windows Identity Foundation似乎有点矫枉过正。谢谢。

尝试连接到远程IIS服务器时出现“拒绝访问” – C＃: 当我尝试从IIS 5.1下运行的C＃应用程序连接到远程IIS 6服务器时，我收到“Access Deined”COMException。有任何想法吗？我遇到了原始问题的所有相同问题。更新 – 4/1/09 我找到了这个解决方案（ http://www.codeproject.com/KB/cs/Start_Stop_IIS_Website.aspx ），它包含一个连接到IIS服务器以启动和停止网站的窗口应用程序。我能够在我的工作站上运行它并连接到IIS服务器。呃….为什么我可以运行这个独立应用程序而不是我的ASP.NET应用程序？原版的当我尝试使用DirectoryEntry.Exist方法从远程计算机连接到IIS以检查IIS服务器是否有效时，我收到“拒绝访问”COMException。 string path = string.Format(“IIS://{0}/W3SVC”, server); if(DirectoryEntry.Exist(path)) { //do something is valid…. } 我是一个活动目录组的成员，该组已添加到管理员组到我尝试连接的IIS服务器。有没有人遇到这个问题，知道如何解决它？更新： @Kev – 这是一个ASP.NET应用程序。此外，我可以通过IIS6管理器在没有用户名和密码的情况下连接到远程服务器。 @Chris – 我正在尝试连接到远程服务器以显示虚拟directorys的数量，并确定每个目录的.NET框架版本。看到这个问题。 @dautzenb – 我的ASP.NET应用程序在IIS 5.1下运行，试图连接到IIS 6服务器。我可以在远程服务器上的本地ASPNET帐户的安全日志中看到故障审核。当我尝试调试应用程序时，我在我的域帐户下运行，但仍然拒绝访问。更新2： @Kev – 我能够建立使用以下重载创建DirectoryEntry对象： public DirectoryEntry ( string path, […]

安全运行时引擎VS AntiXSS库: 我看到Web保护库（WPL）有两个不同的选项：安全运行时引擎（SRE） AntiXSS库第一个看起来很棒，因为不需要代码，它是一个HTTPModule。第二个需要在代码上手动添加转义逻辑。尽管我提到了这个优势，但SRE并不是很受欢迎，我想知道为什么。这个库有任何已知问题或使用AntiXSS的任何重大优势，我没有看到？谢谢！

如何在我的MVC应用程序中设置滑动到期，该应用程序使用STS（WIF）进行身份validation: 我们正在使用STS开发MVC应用程序。我们使用WIF工具创建一个简单的STS应用程序进行开发。我希望能够在我的令牌中设置一个滑动过期（在RP中）。我看到这里的代码。不幸的是，这是事件处理程序和示例，虽然有用，但没有显示如何实现处理程序！在我的global.asax中，Application_Start（）我有： sam = new SessionAuthenticationModule(); sam.SessionSecurityTokenReceived += new EventHandler(sam_SessionSecurityTokenReceived); （sam是用类范围定义的。）我不确定这是否正确。我不知道如何validation是否因为global.asax中的调试问题而调用了该事件。是否有更完整的例子来说明如何捕获此事件？我是以正确的方式去做的吗？ TIA！我很感激帮助！丰富编辑 – 好吧，我知道事件没有被调用，因为我在处理程序中除了零代码，并且应用程序没有抛出exception。我通过我的STS登录，因此任何令牌收到的事件都应该被解雇。任何有关如何做到这一点的帮助将不胜感激。谢谢！

如何加密app.config？: 在wpf中创建app.config（c＃）用过的代码C＃： Configuration config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None); ConnectionStringsSection conStr = config.ConnectionStrings; if (!conStr.SectionInformation.IsProtected) { conStr.SectionInformation.ProtectSection(“RSAProtectedConfigurationProvider”); conStr.SectionInformation.ForceSave = true; config.Save(); } else { foreach (ConnectionStringSettings ss in conStr.ConnectionStrings) Console.WriteLine(ss); Console.Read(); } config.Save(); – 导致exception： {“无法使用提供程序’RsaProtectedConfigurationProvider’加密’connectionStrings’部分。来自提供程序的错误消息：对象已存在。\ r \ n”}}

使用WinRT接受无效的SSL证书: 在某些情况下，您希望应用程序接受无效的SSL证书（测试环境/自签名证书等）。在.NET世界中，可以使用ServerCertificateValidationCallback类来执行此操作。不幸的是，WinRT上下文中不存在该类。我需要使用WinRT来使用Web API，WinRT托管在没有有效ssl证书的服务器上。如何使用HttpClient类或任何其他适当的类在WinRT中接受无效的ssl证书。任何帮助或替代品将非常感激。

OAuth承载令牌身份validation未通过签名validation: 我在令牌使用者身上收到以下错误。任何解决这个问题的帮助都将非常受欢迎。谢谢。 “IDX10503：签名validation失败。密钥尝试：’System.IdentityModel.Tokens.SymmetricSecurityKey’。捕获到exception：’System.InvalidOperationException：IDX10636：SignatureProviderFactory.CreateForVerifying为key返回null：’System.IdentityModel.Tokens.SymmetricSecurityKey’，signatureAlgorithm：’ http : //www.w3.org/2001/04/xmldsig-more#hmac -sha256 ‘。在System.IdentityModel.Tokens.JwtSecurityTokenHandler.ValidateSignature（Byte [] encodedBytes，Byte []签名，SecurityKey密钥，字符串算法）的Microsoft.IdentityModel.Logging.LogHelper.Throw（String message，Type exceptionType，EventLevel logLevel，Exception innerException）在System.IdentityModel.Tokens.JwtSecurityTokenHandler.ValidateSignature（String token，TokenValidationParameters validationParameters）’。令牌：’令牌信息在这里’“ OAuth服务器上的令牌生成代码 using (var ctlr = new EntityController()) { var authRepo = ctlr.GetAuthModelRepository(); string clientId; ticket.Properties.Dictionary.TryGetValue(WebConstants.OwinContextProps.OAuthClientIdPropertyKey, out clientId); if (string.IsNullOrWhiteSpace(clientId)) { throw new InvalidOperationException(“AuthenticationTicket.Properties does not include audience”); } //audience record var client = […]

从WindowsIdentity和Thread.CurrentPrincipal检索WindowsPrincipal有什么区别？: 我试图弄清楚为什么基于属性的安全性不能像我在WCF中所期望的那样工作，我怀疑它可能与以下内容有关： AppDomain.CurrentDomain.SetPrincipalPolicy(PrincipalPolicy.WindowsPrincipal); var identity = new WindowsIdentity(“ksarfo”); var principal = new WindowsPrincipal(identity); Console.WriteLine(“\nChecking whether current user [” + identity.Name + “] is member of [” + groupName + “]”); Console.WriteLine(principal.IsInRole(groupName)); // returns true principal = (WindowsPrincipal)Thread.CurrentPrincipal; identity = (WindowsIdentity) principal.Identity; Console.WriteLine(“\nChecking whether current user [” + identity.Name + “] is member of [” + groupName […]

有没有办法在C＃中修改进程DACL: 我有遗留的C ++代码，它改变了进程DACL，并尝试使用.NET 3.5中的托管代码类。我在网上找到了一些人创建了一个SetAclOnServices类的代码，该类扩展了NativeObjectSecurity类的服务。我认为我可以实现这一点，只需将ResourceType.Service更改为ResourceType.KernelObject，但是当我调用GetAccessControl时，它会因File Not Found错误而失败。

我何时应该使用SHA-1，何时应该使用SHA-2？: 在我的c＃应用程序中，我正在使用RSA签名文件，然后由上传的人上传到我公司的数据库中，在这里我必须选择SHA-1或SHA-2来计算哈希值。与编程中的任何其他组件一样，我知道必须有一个“在这里使用”和“在那里使用”这两个组件。那么，什么时候？那时呢？编辑：我的问题是：性能有什么不同？而不是关于安全性，因为我已经知道SHA-2比SHA-1更安全。在此链接中，不同类型的SHA-2之间的比较注意何时使用SHA-512以及何时不使用SHA-512。我需要一个关于SHA-1和SHA-2的类似论点。