WPF-Sicherheitsstrategie – Plattformsicherheit

Während Windows Presentation Foundation (WPF) eine Vielzahl von Sicherheitsdiensten bereitstellt, nutzt es auch die Sicherheitsfeatures der zugrunde liegenden Plattform, die das Betriebssystem, die CLR und Internet Explorer umfasst. Diese Ebenen kombinieren sich, um WPF ein starkes, umfassendes Sicherheitsmodell zu geben, das versucht, einen einzigen Fehlerpunkt zu vermeiden, wie in der folgenden Abbildung dargestellt.

Im restlichen Teil dieses Themas werden die Features in den einzelnen Ebenen erläutert, die speziell für WPF gelten.

Betriebssystemsicherheit

Der Kern von Windows bietet mehrere Sicherheitsfeatures, die die Sicherheitsbasis für alle Windows-Anwendungen bilden, einschließlich der mit WPF erstellten. In diesem Thema werden das Spektrum dieser Sicherheitsfunktionen, die für WPF wichtig sind, sowie die Art und Weise, wie WPF mit ihnen integriert, diskutiert, um zusätzliche Verteidigung in der Tiefe bereitzustellen.

Microsoft Windows XP Service Pack 2 (SP2)

Zusätzlich zu einer allgemeinen Überprüfung und Stärkung von Windows gibt es drei wichtige Features von Windows XP SP2, die in diesem Thema behandelt werden:

• /GS-Kompilierung

• Microsoft Windows Update.

/GS-Kompilierung

Windows XP SP2 bietet Schutz, indem viele Kernsystembibliotheken, einschließlich aller WPF-Abhängigkeiten wie clR, neu kompiliert werden, um Pufferüberläufe zu minimieren. Dies wird mithilfe des /GS-Parameters mit dem C/C++-Befehlszeilencompiler erreicht. Obwohl Pufferüberläufe explizit vermieden werden sollten, bietet die Kompilierung mit /GS ein Beispiel für eine Verteidigung in der Tiefe gegen potenzielle Sicherheitslücken, die versehentlich oder böswillig durch solche Pufferüberläufe entstehen.

In der Vergangenheit waren Pufferüberläufe die Ursache für viele sicherheitsrelevante Exploits mit hohem Einfluss. Ein Pufferüberlauf tritt auf, wenn ein Angreifer eine Codelücke nutzt, die das Einfügen von bösartigem Code ermöglicht, der über die Grenzen eines Puffers schreibt. Dadurch kann ein Angreifer den Prozess entführen, in dem der Code ausgeführt wird, indem die Absenderadresse einer Funktion überschrieben wird, um die Ausführung des Codes des Angreifers zu verursachen. Das Ergebnis ist bösartiger Code, der beliebigen Code mit den gleichen Rechten wie der gehijackte Prozess ausführt.

Auf hoher Ebene schützt das -GS-Compilerflag vor einigen möglichen Pufferüberläufen, indem es zum Schutz der Rückgabeadresse einer Funktion, die über lokale Zeichenfolgepuffer verfügt, ein spezielles Sicherheitscookie einschleust. Nach der Rückgabe einer Funktion wird das Sicherheitscookie mit seinem vorherigen Wert verglichen. Wenn sich der Wert geändert hat, könnte ein Pufferüberlauf aufgetreten sein, und der Prozess wird mit einem Fehlerzustand beendet. Das Beenden des Prozesses verhindert die Ausführung von potenziell schädlichem Code. Ausführlichere Informationen finden Sie unter -GS (Puffersicherheitsüberprüfung).

WPF wird mit dem Flag "/GS" kompiliert, um WPF-Anwendungen eine weitere Verteidigungsebene hinzuzufügen.

Windows Vista

WPF-Benutzer mit Windows Vista profitieren von zusätzlichen Verbesserungen des Betriebssystems in puncto Sicherheit, z. B. Benutzerkontensteuerung, Integritätsprüfungen für Code und Rechteisolierung.

Benutzerkontensteuerung (User Account Control, UAC)

Windows-Benutzer neigen heute dazu, mit Administratorrechten zu arbeiten, da viele Anwendungen Administratorrechte entweder zur Installation oder zum Ausführen oder beides benötigen. Die Möglichkeit, Standardanwendungseinstellungen in die Registrierung zu schreiben, ist ein Beispiel.

Das Ausführen mit Administratorrechten bedeutet wirklich, dass Anwendungen aus Prozessen ausgeführt werden, die Administratorrechte erhalten haben. Die Sicherheitsauswirkungen hierfür sind, dass jeder bösartige Code, der einen Prozess entführert, der mit Administratorrechten ausgeführt wird, diese Berechtigungen automatisch erbt, einschließlich des Zugriffs auf kritische Systemressourcen.

Eine Möglichkeit zum Schutz vor dieser Sicherheitsrisiken besteht darin, Anwendungen mit der geringsten Anzahl von Berechtigungen auszuführen, die erforderlich sind. Dies wird als Prinzip der geringsten Rechte bezeichnet und ist ein Kernfeature des Windows-Betriebssystems. Dieses Feature wird als Benutzerkontensteuerung (User Account Control, UAC) bezeichnet und wird von Windows UAC auf zwei wichtige Arten verwendet:

• Um die meisten Anwendungen mit UAC-Berechtigungen standardmäßig auszuführen, auch wenn der Benutzer ein Administrator ist; Nur Anwendungen, die Administratorrechte benötigen, werden mit Administratorrechten ausgeführt. Um mit Administratorrechten ausgeführt zu werden, müssen Anwendungen entweder im Anwendungsmanifest oder als Eintrag in der Sicherheitsrichtlinie explizit gekennzeichnet sein.

• Um Kompatibilitätslösungen wie Virtualisierung bereitzustellen. Viele Anwendungen versuchen beispielsweise, in eingeschränkte Speicherorte wie „C:\Programme“ zu schreiben. Für Anwendungen, die über die Benutzerkontensteuerung ausgeführt werden, steht ein alternativer benutzerbezogener Speicherort zur Verfügung, der für Schreibvorgänge keine Administratorrechte erfordert. Bei Anwendungen, die unter UAC ausgeführt werden, virtualisiert UAC den Ordner C:\Program Files, sodass Anwendungen, die denken, dass sie in diesen Ordner schreiben, tatsächlich an einen alternativen, benutzerspezifischen Speicherort schreiben. Diese Art von Kompatibilitätsarbeit ermöglicht es dem Betriebssystem, viele Anwendungen auszuführen, die zuvor nicht in UAC ausgeführt werden konnten.

Codeintegritätsprüfungen

Windows Vista enthält tiefere Codeintegritätsüberprüfungen, um zu verhindern, dass bösartiger Code in Systemdateien oder zur Lade-/Laufzeit in den Kernel eingefügt wird. Dies geht über den Systemdateischutz hinaus.

Prozess mit eingeschränkten Rechten für im Browser gehostete Anwendungen

Browsergehostete WPF-Anwendungen werden in der Internetzonen-Sandbox ausgeführt. Die WPF-Integration in Microsoft Internet Explorer erweitert diesen Schutz mit zusätzlicher Unterstützung.

Warnung

XBAPs erfordern, dass ältere Browser funktionieren, z. B. Internet Explorer und alte Versionen von Firefox. Diese älteren Browser werden in der Regel unter Windows 10 und Windows 11 nicht unterstützt. Moderne Browser unterstützen die für XBAP-Apps erforderliche Technologie aufgrund von Sicherheitsrisiken nicht mehr. Plug-Ins, die XBAPs aktivieren, werden nicht mehr unterstützt. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu WPF-browserbasierten Anwendungen (XBAP).

Da XAML-Browseranwendungen (XBAPs) im Allgemeinen durch den Berechtigungssatz für die Internetzone in einer Sandbox ausgeführt werden, beeinträchtigt das Entfernen dieser Berechtigungen XAML-Browseranwendungen (XBAPs) aus Kompatibilitätsperspektive nicht. Stattdessen wird eine zusätzliche Defense-in-Depth-Ebene geschaffen. Wenn eine in einem Sicherheitssandkasten ausgeführte Anwendung in der Lage ist, andere Ebenen anzugreifen und den Prozess zu hacken, verfügt auch der Prozess nur über eingeschränkte Berechtigungen.

Weitere Informationen finden Sie unter Verwenden eines Benutzerkontos mit den geringsten Berechtigungen.

Common Language Runtime-Sicherheit

Die Common Language Runtime (CLR) bietet eine Reihe wichtiger Sicherheitsvorteile, einschließlich Validierung und Überprüfung, Code Access Security (CAS) und der sicherheitskritischen Methodik.

Validierung und Verifizierung

Assemblyisolation und Integrität werden von der CLR über einen Validierungsprozess bereitgestellt. Mit der CLR-Validierung wird sichergestellt, dass Assemblys isoliert werden. Dazu wird deren PE-Dateiformat (Portable Executable) für Adressen validiert, die auf eine Stelle außerhalb der Assembly verweisen. Die CLR-Überprüfung überprüft auch die Integrität der Metadaten, die in eine Assembly eingebettet sind.

Um die Typsicherheit zu gewährleisten, häufige Sicherheitsprobleme (z. B. Pufferüberläufe) zu vermeiden und Sandboxing durch Isolation von Subprozessen zu ermöglichen, verwendet die CLR-Sicherheit das Konzept der Überprüfung.

Verwaltete Anwendungen werden in Microsoft Intermediate Language (MSIL) kompiliert. Wenn Methoden in einer verwalteten Anwendung ausgeführt werden, wird die MSIL über Just-in-Time-Kompilierung (JIT) in nativen Code kompiliert. Die JIT-Kompilierung enthält einen Prüfprozess mit vielen Sicherheits- und Stabilitätsregeln, die sicherstellen, dass der Code keine der folgenden Eigenschaften aufweist:

• Verletzen von Typverträgen

• Verursachen von Pufferüberläufen

• Unkontrollierter Zugriff auf den Arbeitsspeicher

Verwalteter Code, der nicht den Überprüfungsregeln entspricht, darf nicht ausgeführt werden, es sei denn, er gilt als vertrauenswürdiger Code.

Der Vorteil von überprüfbarem Code ist ein wichtiger Grund, warum WPF auf .NET Framework basiert. Soweit nachweisbarer Code verwendet wird, wird die Möglichkeit, mögliche Sicherheitsrisiken auszunutzen, erheblich verringert.

Codezugriffssicherheit

Ein Clientcomputer macht eine Vielzahl von Ressourcen verfügbar, auf die eine verwaltete Anwendung zugreifen kann, einschließlich Dateisystem, Registrierung, Druckdienste, Benutzeroberfläche, Spiegelung und Umgebungsvariablen. Bevor eine verwaltete Anwendung auf eine der Ressourcen auf einem Clientcomputer zugreifen kann, muss sie über .NET Framework-Berechtigungen verfügen. Eine Berechtigung in CAS ist eine Unterklasse der CodeAccessPermission. CAS implementiert eine Unterklasse für jede Ressource, auf die verwaltete Anwendungen zugreifen können.

Die Rechte, die CAS einer verwalteten Anwendung beim Starten gewährt, werden als Berechtigungssatz bezeichnet. Dieser richtet sich nach den von der Anwendung bereitgestellten Nachweisen. Bei WPF-Anwendungen wird als Nachweis der Speicherort oder die Zone bereitgestellt, von dem bzw. der die Anwendungen gestartet werden. CAS identifiziert die folgenden Zonen:

• Mein Computer. Anwendungen, die vom Clientcomputer gestartet wurden (voll vertrauenswürdig).

• Lokales Intranet. Anwendungen, die über das Intranet gestartet wurden. (in gewisser Weise vertrauenswürdig).

• Internet. Anwendungen, die über das Internet gestartet wurden. (Am wenigsten vertrauenswürdig).

• Vertrauenswürdige Sites. Anwendungen, die von einem Benutzer als vertrauenswürdig identifiziert wurden. (Am wenigsten vertrauenswürdig).

• Nicht vertrauenswürdige Websites. Anwendungen, die von einem Benutzer als nicht vertrauenswürdig identifiziert wurden. (Nicht vertrauenswürdig).

Für jede dieser Zonen stellt CAS einen vordefinierten Berechtigungssatz bereit, der die Berechtigungen enthält, die der jeweils zugeordneten Vertrauensstufe entsprechen. Dazu gehören:

• FullTrust. Für Anwendungen, die aus der Zone Arbeitsplatz gestartet werden. Alle möglichen Berechtigungen werden gewährt.

• LocalIntranet. Für Anwendungen, die aus der Zone Lokales Intranet gestartet werden. Eine Teilmenge von Berechtigungen wird gewährt, um moderaten Zugriff auf die Ressourcen eines Clientcomputers zu ermöglichen, einschließlich isolierter Speicherplätze, uneingeschränkten Zugriffs auf die Benutzeroberfläche, uneingeschränkter Dateidialogfelder, eingeschränkter Spiegelung und eingeschränktem Zugriff auf Umgebungsvariablen. Berechtigungen für kritische Ressourcen wie die Registrierung werden nicht bereitgestellt.

• Internet. Für Anwendungen, die aus der Zone Internet oder Vertrauenswürdige Sites gestartet werden. Eine Teilmenge von Berechtigungen wird erteilt, um den eingeschränkten Zugriff auf die Ressourcen eines Clientcomputers zu ermöglichen, einschließlich isoliertem Speicher, nur Dateizugriff und eingeschränkter Benutzeroberfläche. Im Wesentlichen isoliert dieser Berechtigungssatz Anwendungen vom Clientcomputer.

Anwendungen, die aus der Zone Nicht vertrauenswürdige Sites stammen, gewährt CAS überhaupt keine Berechtigungen. Daher gibt es für diese Anwendungen keinen vordefinierten Berechtigungssatz.

Die folgende Abbildung zeigt die Beziehung zwischen Zonen, Berechtigungssätzen, Berechtigungen und Ressourcen:

Die Einschränkungen der Sicherheits-Sandbox der Internetzone gelten gleichermaßen für Code, den ein XBAP aus einer Systembibliothek, einschließlich der WPF-Bibliothek, importiert. Dadurch wird sichergestellt, dass jedes Bit des Codes gesperrt ist, auch WPF. Unglücklicherweise muss eine XBAP jedoch, um ausgeführt zu werden, Funktionalität ausführen, die mehr Berechtigungen erfordert, als im Rahmen der Sicherheitssandbox der Internetzone gewährt werden.

Warnung

XBAPs erfordern, dass ältere Browser funktionieren, z. B. Internet Explorer und alte Versionen von Firefox. Diese älteren Browser werden in der Regel unter Windows 10 und Windows 11 nicht unterstützt. Moderne Browser unterstützen die für XBAP-Apps erforderliche Technologie aufgrund von Sicherheitsrisiken nicht mehr. Plug-Ins, die XBAPs aktivieren, werden nicht mehr unterstützt. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu von browsergehosteten WPF-Anwendungen (XBAP).

Erwägen Sie eine XBAP-Anwendung, die die folgende Seite enthält:

FileIOPermission fp = new FileIOPermission(PermissionState.Unrestricted);
fp.Assert();

// Perform operation that uses the assert

// Revert the assert when operation is completed
CodeAccessPermission.RevertAssert();

Dim fp As New FileIOPermission(PermissionState.Unrestricted)
fp.Assert()

' Perform operation that uses the assert

' Revert the assert when operation is completed
CodeAccessPermission.RevertAssert()

Um diesen XBAP auszuführen, muss der zugrunde liegende WPF-Code mehr Funktionalität ausführen, als für den aufrufenden XBAP verfügbar ist, einschließlich:

• Erstellen eines Fensterhandles (HWND) für das Rendering

• Verteilen von Nachrichten

• Laden der Schriftart Tahoma

Aus Sicherheitsgründen wäre der direkte Zugriff auf diese Vorgänge aus der Sandkastenanwendung katastrophal.

Zum Glück bietet WPF einen Ausweg aus dieser Lage, indem diesen Vorgängen die Ausführung mit erhöhten Rechten im Namen der in der Sicherheitssandbox ausgeführten Anwendung erlaubt wird. Während alle WPF-Vorgänge auf die eingeschränkten Sicherheitsberechtigungen der Internetzone der Anwendungsdomäne des XBAP überprüft werden, erhält WPF (wie bei anderen Systembibliotheken) einen Berechtigungssatz, der alle möglichen Berechtigungen umfasst.

Dies erfordert, dass WPF erhöhte Berechtigungen empfängt, während verhindert wird, dass diese Berechtigungen durch den Berechtigungssatz für die Internetzone der Hostanwendungsdomäne gesteuert werden.

WPF verwendet dazu für eine Berechtigung die Assert-Methode. Der folgende Code zeigt, wie dies geschieht.

FileIOPermission fp = new FileIOPermission(PermissionState.Unrestricted);
fp.Assert();

// Perform operation that uses the assert

// Revert the assert when operation is completed
CodeAccessPermission.RevertAssert();

Dim fp As New FileIOPermission(PermissionState.Unrestricted)
fp.Assert()

' Perform operation that uses the assert

' Revert the assert when operation is completed
CodeAccessPermission.RevertAssert()

Mit Assert wird im Grunde verhindert, dass die für WPF erforderlichen uneingeschränkten Berechtigungen durch die Berechtigungen der Internetzone der XBAP eingeschränkt werden.

Aus Plattformsicht ist WPF dafür verantwortlich, Assert korrekt zu verwenden; Eine falsche Verwendung von Assert könnte böswilligen Code aktivieren, um Rechte zu erhöhen. Daher ist es wichtig, Assert nur bei Bedarf aufzurufen und dabei sicherzustellen, dass die Einschränkungen der Sicherheitssandbox unverändert erhalten bleiben. Beispielsweise darf Sandkastencode keine zufälligen Dateien öffnen, es ist jedoch zulässig, Schriftarten zu verwenden. WPF bietet durch den Aufruf von Assert den in der Sicherheitssandbox ausgeführten Anwendungen die Möglichkeit, die Schriftartfunktion zu verwenden, und WPF liest dann im Namen dieser Anwendung in der Sandbox die Dateien, die bekanntermaßen diese Schriftarten enthalten.

ClickOnce-Bereitstellung

ClickOnce ist eine umfassende Bereitstellungstechnologie, die in .NET Framework enthalten ist und in Visual Studio integriert wird (ausführliche Informationen finden Sie unter ClickOnce-Sicherheit und -Bereitstellung). Eigenständige WPF-Anwendungen können mithilfe von ClickOnce bereitgestellt werden, während browsergehostete Anwendungen mit ClickOnce bereitgestellt werden müssen.

Mit ClickOnce bereitgestellte Anwendungen werden durch Codezugriffssicherheit (CAS) mit einer weiteren Sicherheitsebene ausgestattet; im Grunde fordern mit ClickOnce bereitgestellte Anwendungen nur die von ihnen benötigten Berechtigungen an. Sie erhalten nur diese Berechtigungen, wenn sie den Satz von Berechtigungen für die Zone, aus der die Anwendung bereitgestellt wird, nicht überschreiten. Durch die Reduzierung der Berechtigungssätze auf nur diejenigen, die benötigt werden, selbst wenn sie weniger sind als die des Berechtigungssatzes der Startzone, wird die Anzahl der Ressourcen, auf die die Anwendung Zugriff hat, auf ein absolutes Minimum reduziert. Folglich wird, wenn die Anwendung entführt wird, das Risiko für Schäden an dem Client-Rechner reduziert.

Sicherheitsrelevante Methode

Für den WPF-Code, der mithilfe von Berechtigungen die Sicherheitssandbox der Internetzone für XBAP-Anwendungen aktiviert, muss stets das höchstmögliche Maß an Sicherheitsüberwachung und -kontrolle gelten. Um diese Anforderung zu erleichtern, bietet .NET Framework neue Unterstützung für die Verwaltung von Code, der Berechtigungen erhöht. Insbesondere die CLR ermöglicht es Ihnen, Code zu identifizieren, der Rechte erhöht, und diesen mit SecurityCriticalAttribute zu kennzeichnen. Nicht mit SecurityCriticalAttribute gekennzeichneter Code wird mit dieser Methode transparent. Umgekehrt wird verhindert, dass verwalteter Code, der nicht mit dem SecurityCriticalAttribute gekennzeichnet ist, die Rechte erhöht.

Warnung

XBAPs erfordern, dass ältere Browser funktionieren, z. B. Internet Explorer und alte Versionen von Firefox. Diese älteren Browser werden in der Regel unter Windows 10 und Windows 11 nicht unterstützt. Moderne Browser unterstützen die für XBAP-Apps erforderliche Technologie aufgrund von Sicherheitsrisiken nicht mehr. Plug-Ins, die XBAPs aktivieren, werden nicht mehr unterstützt. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu WPF-browsergehosteten Anwendungen (XBAP).

Die sicherheitsrelevante Methode ermöglicht die Organisation von WPF-Code, der Rechte bis in den sicherheitskritischen Kernel erhöht, während der Rest transparent dargestellt wird. Durch das Isolieren des sicherheitskritischen Codes kann das WPF-Entwicklungsteam eine zusätzliche Sicherheitsanalyse durchführen und die Quellcodeverwaltung auf den sicherheitskritischen Kernel ausrichten, über die standardmäßigen Sicherheitspraktiken hinaus (siehe WPF-Sicherheitsstrategie - Security Engineering).

Beachten Sie, dass .NET Framework vertrauenswürdigem Code erlaubt, die Sicherheitssandbox der Internetzone für die XBAP zu erweitern, indem es Entwicklern gestattet wird, verwaltete Assemblys zu schreiben, die mit AllowPartiallyTrustedCallersAttribute (APTCA) gekennzeichnet und im globalen Assemblycache (GAC) des Benutzers bereitgestellt werden. Das Kennzeichnen einer Assembly mit APTCA ist ein streng vertraulicher Sicherheitsvorgang, da jeder Code diese Assembly aufrufen kann, einschließlich bösartigem Code aus dem Internet. Äußerste Vorsicht und bewährte Methoden müssen bei der Durchführung angewendet werden, und die Benutzer müssen entscheiden, dieser Software zu vertrauen, damit sie installiert werden kann.

Microsoft Internet Explorer Sicherheit

Neben der Reduzierung von Sicherheitsproblemen und der Vereinfachung der Sicherheitskonfiguration enthält Microsoft Internet Explorer 6 (SP2) mehrere Features, mit denen Sicherheitsverbesserungen für Benutzer von XAML-Browseranwendungen (XBAPs) verbessert werden. Diese Funktionen zielen darauf ab, den Benutzern eine größere Kontrolle über ihr Browsererlebnis zu ermöglichen.

Warnung

XBAPs erfordern, dass ältere Browser funktionieren, z. B. Internet Explorer und alte Versionen von Firefox. Diese älteren Browser werden in der Regel unter Windows 10 und Windows 11 nicht unterstützt. Moderne Browser unterstützen die für XBAP-Apps erforderliche Technologie aufgrund von Sicherheitsrisiken nicht mehr. Plug-Ins, die XBAPs aktivieren, werden nicht mehr unterstützt. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu WPF-Anwendungen, die im Browser gehostet werden (XBAP)

Vor IE6 SP2 können Benutzer einer der folgenden Bedingungen unterliegen:

• Zufällige Popupfenster

• Verwirrende Skriptumleitung

• Zahlreiche Sicherheitsdialoge auf manchen Websites.

In einigen Fällen versuchten nicht vertrauenswürdige Websites, Benutzer durch Spoofing der Installationsbenutzeroberfläche (UI) oder wiederholtes Anzeigen eines Microsoft ActiveX-Installationsdialogfelds zu täuschen, obwohl der Benutzer den Vorgang bereits abgebrochen hatte. Bei verwendung dieser Techniken ist es möglich, dass eine erhebliche Anzahl von Benutzern dazu verleiten wurde, schlechte Entscheidungen zu treffen, die bei der Installation von Spyware-Anwendungen resultierten.

IE6 SP2 enthält mehrere Features, um diese Arten von Problemen zu beheben, die sich auf das Konzept der Benutzerinitiierung beziehen. IE6 SP2 erkennt, wenn ein Benutzer vor einer Aktion auf einen Link oder ein Seitenelement geklickt hat, das als Benutzerinitiierungbezeichnet wird, und behandelt es anders als, wenn eine ähnliche Aktion stattdessen vom Skript auf einer Seite ausgelöst wird. Als Beispiel enthält IE6 SP2 einen Pop-Up Blocker, der erkennt, wenn ein Benutzer auf eine Schaltfläche klickt, bevor die Seite ein Pop-up erstellt. Dadurch kann IE6 SP2 die meisten unauffälligen Popups zulassen und Popups verhindern, die Benutzer weder angefordert noch gewünscht haben. Blockierte Popups werden unter der neuen Informationsleiste erfasst. Dadurch kann der Benutzer die Blockierung überschreiben und das Popup anzeigen.

Die Benutzerinitiierungslogik gilt auch für die Sicherheitshinweise beim Öffnen/Speichern. ActiveX-Installationsdialogfelder werden immer unter der Informationsleiste erfasst, sofern es sich nicht um das Upgrade eines bereits installierten Steuerelements handelt. Diese Maßnahmen bieten den Nutzern eine sicherere und kontrollierte Benutzererfahrung, da sie vor Websites geschützt sind, die sie dazu drängen, entweder unerwünschte oder schädliche Software zu installieren.

Diese Features schützen auch Kunden, die IE6 SP2 verwenden, um zu Websites zu navigieren, die es ihnen ermöglichen, WPF-Anwendungen herunterzuladen und zu installieren. Dies liegt insbesondere daran, dass IE6 SP2 eine bessere Benutzererfahrung bietet, die die Chance für Benutzer reduziert, böswillige oder schädliche Anwendungen zu installieren, unabhängig davon, welche Technologie zum Erstellen verwendet wurde, einschließlich WPF. WPF fügt diesen Schutz hinzu, indem ClickOnce verwendet wird, um das Herunterladen seiner Anwendungen über das Internet zu erleichtern. Da XAML-Browseranwendungen (XBAPs) in einer Sicherheits-Sandbox für Internetzonen ausgeführt werden, können sie nahtlos gestartet werden. Andererseits erfordern eigenständige WPF-Anwendungen volle Vertrauenswürdigkeit, um ausgeführt zu werden. Für diese Anwendungen zeigt ClickOnce beim Startvorgang ein Sicherheitsdialogfeld an, um auf die Verwendung der zusätzlichen Sicherheitsanforderungen der Anwendung hinzuweisen. Dies muss jedoch vom Benutzer initiiert werden, wird auch von der vom Benutzer initiierten Logik gesteuert und kann abgebrochen werden.

Internet Explorer 7 umfasst und erweitert die Sicherheitsfunktionen von IE6 SP2 als Teil einer kontinuierlichen Verpflichtung zur Sicherheit.

Weitere Informationen

• Codezugriffssicherheit
• Sicherheit
• WPF-Sicherheit mit teilweiser Vertrauenswürdigkeit
• WPF-Sicherheitsstrategie – Security Engineering