アセンブリの厳密な名前付けを使用してアセンブリの作成者を確認できますか? 質問する

作成した秘密キーに基づいて厳密な名前でアセンブリに署名すると、次のような利点があります。

• 厳密な名前は、アセンブリに公開キー トークンとデジタル署名を追加することで、アセンブリの ID の一意性を保証します。
• 厳密な名前を公開キーと照合することで、アセンブリがその公開キーを持つ発行元からのみ発行されたことを証明できます。
• 厳密な名前は、強力な整合性チェックを提供します。.NET Framework セキュリティ チェックに合格すると、アセンブリの内容が最後にビルドされてから変更されていないことが保証されます。

厳密な名前付けを使用してアセンブリの作成者を確認することは可能ですか?

はい、上で説明したように、厳密な名前付けによりアセンブリの最新作成者。ただし、元の作成者は検証されません。攻撃者がアセンブリの厳密な名前を置き換えた場合、確認できるのは、そのアセンブリの最新の作成者ではなかったということだけです。攻撃者が厳密な名前を削除した場合、作成者の検証はまったく実行できなくなります。

改ざんを防ぐために、厳密な名前のアセンブリをどの程度まで検証できますか?

次の C# コードは、厳密な名前を適用したときにアセンブリに書き込まれた公開キー トークンが攻撃者によって改ざんされていないことを確認します。改ざんは回避できませんが、一部の種類の改ざんは検出できます。以下のメソッドは、公開キー トークンを含むバイト配列を受け取り、それをアセンブリの実際のトークンと比較します。この手法が効果的であるためには、選択した難読化ツールで公開キー トークンを含む文字列を暗号化し、使用時にその場でのみ復号化する必要があることに注意してください。また、このコードは内部でリフレクションを使用しているため、動作させるには FullTrust アクセス許可が必要であることにも注意してください。

// Check that public key token matches what's expected.
private static bool IsPublicTokenOkay_Check(byte [] tokenExpected)
{
    // Retrieve token from current assembly
    byte [] tokenCurrent = Assembly.GetExecutingAssembly().GetName().GetPublicKeyToken();

    // Check that lengths match
    if (tokenExpected.Length == tokenCurrent.Length)
    {
        // Check that token contents match
        for (int i = 0; i < tokenCurrent.Length; i++)
            if (tokenExpected[i] != tokenCurrent[i]) 
                return false;
    }
    else
    {
        return false;
    }
    return true;
}

// Check that this assembly has a strong name.
private bool IsStrongNameValid_Check()
{
    byte wasVerified = Convert.ToByte(false); 
     byte forceVerification = Convert.ToByte(true);
    string assemblyName = AppDomain.CurrentDomain.BaseDirectory + 
                          AppDomain.CurrentDomain.FriendlyName; 
    return NativeMethods.CheckSignature(assemblyName, 
                                        forceVerification, 
                                        ref wasVerified);
}

// P/Invoke to check various security settings
// Using byte for arguments rather than bool, 
// because bool won't work on 64-bit Windows!
[DllImport("mscoree.dll", CharSet=CharSet.Unicode)]
private static extern bool StrongNameSignatureVerificationEx(string wszFilePath, 
                                                             byte fForceVerification, 
                                                             ref byte pfWasVerified);

// Private constructor because this type has no non-static members
private NativeMethods()
{
}

public static bool CheckSignature(string assemblyName, 
                                  byte forceVerification, 
                                  ref byte wasVerified)
{
    return StrongNameSignatureVerificationEx(assemblyName, 
                                             forceVerification, 
                                             ref wasVerified );
}