WPF 部分信頼セキュリティ

一般に、インターネット アプリケーションは、悪意のある損害を防ぐために、重要なシステム リソースへの直接アクセスを制限する必要があります。 既定では、HTML およびクライアント側のスクリプト言語は重要なシステム リソースにアクセスできません。 Windows Presentation Foundation (WPF) ブラウザーでホストされるアプリケーションはブラウザーから起動できるため、同様の一連の制限に準拠する必要があります。 これらの制限を適用するために、WPF はコード アクセス セキュリティ (CAS) と ClickOnce の両方に依存します (「WPF セキュリティ戦略 - プラットフォーム セキュリティ参照)。 既定では、ブラウザーでホストされるアプリケーションは、インターネット、ローカル イントラネット、またはローカル コンピューターのどちらから起動されるかに関係なく、インターネット ゾーンの CAS アクセス許可セットを要求します。 アクセス許可の完全なセットより少ない数で実行されるアプリケーションは、部分信頼で実行されていると言われます。

WPF では、可能な限り多くの機能を部分信頼で安全に使用できるようにさまざまなサポートが提供され、CAS と共に、部分信頼プログラミングの追加サポートが提供されます。

このトピックには、次のセクションが含まれています。

• WPF 機能の部分的な信頼サポート

• 部分信頼プログラミング

• アクセス許可の管理

次の表に、インターネット ゾーンのアクセス許可セットの制限内で安全に使用できる Windows Presentation Foundation (WPF) の高度な機能を示します。

表 1: 部分信頼で安全な WPF 機能

この表では、WPF の機能について大まかに説明します。 詳細については、Windows SDK は WPF の各メンバーに必要なアクセス許可を文書化します。 さらに、次の機能には、特別な考慮事項など、部分信頼の実行に関するより詳細な情報があります。

• XAML (WPFXAML を参照)。

• ポップアップ (System.Windows.Controls.Primitives.Popupを参照)。

• ドラッグ アンド ドロップ (ドラッグ アンド ドロップの概要参照)。

• クリップボード (System.Windows.Clipboardを参照)。

• イメージング (System.Windows.Controls.Imageを参照)。

• シリアル化 (XamlReader.Load、XamlWriter.Saveを参照)。

• [ファイルを開く] ダイアログ ボックス (Microsoft.Win32.OpenFileDialogを参照)。

次の表は、インターネット ゾーンのアクセス許可セットの制限内で安全に実行できない WPF 機能の概要を示しています。

表 2: 部分信頼で安全ではない WPF 機能

XBAP アプリケーションの場合、既定のアクセス許可セットを超えるコードの動作は、セキュリティ ゾーンによって異なります。 場合によっては、ユーザーがインストールしようとすると警告が表示されます。 ユーザーは、インストールの続行またはキャンセルを選択できます。 次の表では、各セキュリティ ゾーンのアプリケーションの動作と、アプリケーションが完全な信頼を受け取るために必要な操作について説明します。

一般に、許可されたアクセス許可を超える可能性のあるコードは、スタンドアロンアプリケーションとブラウザーホスト型アプリケーションの両方で共有される一般的なコードである可能性があります。 CAS と WPF には、このシナリオを管理するためのいくつかの手法が用意されています。

場合によっては、ライブラリ アセンブリ内の共有コードをスタンドアロン アプリケーションと XBAP の両方で使用できます。 このような場合、コードは、アプリケーションの付与されたアクセス許可セットで許可されているよりも多くのアクセス許可を必要とする可能性がある機能を実行することがあります。 アプリケーションは、Microsoft .NET Framework セキュリティを使用して、特定のアクセス許可を持っているかどうかを検出できます。 具体的には、目的のアクセス許可のインスタンスで Demand メソッドを呼び出すことによって、特定のアクセス許可があるかどうかをテストできます。 次の例では、ファイルをローカル ディスクに保存できるかどうかを照会するコードを示します。

using System.IO;
using System.IO.IsolatedStorage;
using System.Security;
using System.Security.Permissions;
using System.Windows;

namespace SDKSample
{
    public class FileHandling
    {
        public void Save()
        {
            if (IsPermissionGranted(new FileIOPermission(FileIOPermissionAccess.Write, @"c:\newfile.txt")))
            {
                // Write to local disk
                using (FileStream stream = File.Create(@"c:\newfile.txt"))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to local disk.");
                }
            }
            else
            {
                MessageBox.Show("I can't write to local disk.");
            }
        }

        // Detect whether or not this application has the requested permission
        bool IsPermissionGranted(CodeAccessPermission requestedPermission)
        {
            try
            {
                // Try and get this permission
                requestedPermission.Demand();
                return true;
            }
            catch
            {
                return false;
            }
        }

Imports System.IO
Imports System.IO.IsolatedStorage
Imports System.Security
Imports System.Security.Permissions
Imports System.Windows

Namespace SDKSample
    Public Class FileHandling
        Public Sub Save()
            If IsPermissionGranted(New FileIOPermission(FileIOPermissionAccess.Write, "c:\newfile.txt")) Then
                ' Write to local disk
                Using stream As FileStream = File.Create("c:\newfile.txt")
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to local disk.")
                End Using
                End Using
            Else
                MessageBox.Show("I can't write to local disk.")
            End If
        End Sub

        ' Detect whether or not this application has the requested permission
        Private Function IsPermissionGranted(ByVal requestedPermission As CodeAccessPermission) As Boolean
            Try
                ' Try and get this permission
                requestedPermission.Demand()
                Return True
            Catch
                Return False
            End Try
        End Function

    }
}

    End Class
End Namespace

アプリケーションに望ましい権限がない場合、Demand の呼び出しによってセキュリティ例外がスローされます。 それ以外の場合は、アクセス許可が付与されています。 IsPermissionGranted は、この動作をカプセル化し、必要に応じて true または false を返します。

コードに必要な操作を行うアクセス許可があるかどうかを検出できることは、異なるゾーンから実行できるコードにとって興味深いものです。 ゾーンを検出することは 1 つのことですが、可能であれば、ユーザーに代わりの手段を提供することをお勧めします。 たとえば、完全信頼アプリケーションでは通常、ユーザーは任意の場所でファイルを作成できますが、部分信頼アプリケーションでは分離ストレージ内にのみファイルを作成できます。 ファイルを作成するコードが、完全信頼 (スタンドアロン) アプリケーションと部分信頼 (ブラウザー ホスト型) アプリケーションの両方で共有されるアセンブリに存在し、両方のアプリケーションでユーザーがファイルを作成できるようにする場合、共有コードは、ファイルを適切な場所に作成する前に、ファイルが部分的または完全な信頼で実行されているかどうかを検出する必要があります。 次のコードは、両方を示しています。

using System.IO;
using System.IO.IsolatedStorage;
using System.Security;
using System.Security.Permissions;
using System.Windows;

namespace SDKSample
{
    public class FileHandlingGraceful
    {
        public void Save()
        {
            if (IsPermissionGranted(new FileIOPermission(FileIOPermissionAccess.Write, @"c:\newfile.txt")))
            {
                // Write to local disk
                using (FileStream stream = File.Create(@"c:\newfile.txt"))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to local disk.");
                }
            }
            else
            {
                // Persist application-scope property to
                // isolated storage
                IsolatedStorageFile storage = IsolatedStorageFile.GetUserStoreForApplication();
                using (IsolatedStorageFileStream stream =
                    new IsolatedStorageFileStream("newfile.txt", FileMode.Create, storage))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to Isolated Storage");
                }
            }
        }

        // Detect whether or not this application has the requested permission
        bool IsPermissionGranted(CodeAccessPermission requestedPermission)
        {
            try
            {
                // Try and get this permission
                requestedPermission.Demand();
                return true;
            }
            catch
            {
                return false;
            }
        }

Imports System.IO
Imports System.IO.IsolatedStorage
Imports System.Security
Imports System.Security.Permissions
Imports System.Windows

Namespace SDKSample
    Public Class FileHandlingGraceful
        Public Sub Save()
            If IsPermissionGranted(New FileIOPermission(FileIOPermissionAccess.Write, "c:\newfile.txt")) Then
                ' Write to local disk
                Using stream As FileStream = File.Create("c:\newfile.txt")
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to local disk.")
                End Using
                End Using
            Else
                ' Persist application-scope property to 
                ' isolated storage
                Dim storage As IsolatedStorageFile = IsolatedStorageFile.GetUserStoreForApplication()
                Using stream As New IsolatedStorageFileStream("newfile.txt", FileMode.Create, storage)
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to Isolated Storage")
                End Using
                End Using
            End If
        End Sub

        ' Detect whether or not this application has the requested permission
        Private Function IsPermissionGranted(ByVal requestedPermission As CodeAccessPermission) As Boolean
            Try
                ' Try and get this permission
                requestedPermission.Demand()
                Return True
            Catch
                Return False
            End Try
        End Function

    }
}

    End Class
End Namespace

多くの場合、部分信頼の代替手段を見つけることができるはずです。

イントラネットなどの制御された環境では、カスタム マネージド フレームワークをクライアント ベース全体でグローバル アセンブリ キャッシュ (GAC) にインストールできます。 これらのライブラリは、完全な信頼を必要とするコードを実行でき、AllowPartiallyTrustedCallersAttribute を使用して部分的な信頼のみを許可されるアプリケーションから参照できます (詳細については、「セキュリティ と WPF セキュリティ戦略 - プラットフォーム セキュリティ」を参照してください)。

CAS を使用してアクセス許可を確認することは、アクセス許可ごとに確認する必要がある場合に適した手法です。 ただし、この手法は通常の処理の一部として例外をキャッチする方法に依存しますが、一般的には推奨されず、パフォーマンスの問題が発生する可能性があります。 代わりに、XAML ブラウザー アプリケーション (XBAP) がインターネット ゾーン サンドボックス内でのみ実行される場合は、xaml ブラウザー アプリケーション (XBAP) に true を返す BrowserInteropHelper.IsBrowserHosted プロパティを使用できます。

既定では、XBAP は部分信頼 (既定のインターネット ゾーンのアクセス許可セット) で実行されます。 ただし、アプリケーションの要件に応じて、アクセス許可のセットを既定から変更できます。 たとえば、XBAP がローカル イントラネットから起動された場合、次の表に示すように、増加したアクセス許可セットを利用できます。

表 3: LocalIntranet とインターネットのアクセス許可

アクセス許可を増やす必要がある場合は、プロジェクト設定と ClickOnce アプリケーション マニフェストを変更する必要があります。 詳細については、「WPF XAML ブラウザー アプリケーションの概要 」を参照してください。 次のドキュメントも役立つ場合があります。

• Mage.exe (マニフェスト生成および編集ツール)。

• MageUI.exe (マニフェスト生成および編集ツール、グラフィカル クライアント)。

• ClickOnce アプリケーションをセキュリティで保護します。

XBAP で完全な信頼が必要な場合は、同じツールを使用して、要求されたアクセス許可を増やすことができます。 XBAP は、ローカル コンピューター、イントラネット、またはブラウザーの信頼済みまたは許可されたサイトに一覧表示されている URL からインストールおよび起動された場合にのみ、完全信頼を受け取ります。 アプリケーションがイントラネットまたは信頼済みサイトからインストールされている場合、ユーザーは管理者特権のアクセス許可を通知する標準の ClickOnce プロンプトを受け取ります。 ユーザーは、インストールの続行またはキャンセルを選択できます。

または、任意のセキュリティ ゾーンからの完全信頼配置に ClickOnce 信頼済み配置モデルを使用することもできます。 詳細については、「信頼されたアプリケーションの展開の概要 と セキュリティ」を参照してください。

• セキュリティ
• WPF セキュリティ戦略 - プラットフォーム セキュリティ
• WPF セキュリティ戦略 - セキュリティ エンジニアリング