CA5381: Pastikan sertifikat tidak ditambahkan ke penyimpanan akar

Artikel
01/31/2024

Properti	Nilai
ID Aturan	CA5381
Judul	Pastikan sertifikat tidak ditambahkan ke penyimpanan akar
Golongan	Keamanan
Perbaikan bersifat disruptif atau non-disruptif	Non-disruptif
Diaktifkan secara default di .NET 8	No

Penyebab

Menambahkan sertifikat ke sertifikat akar tepercaya sistem operasi meningkatkan risiko melegitimasi otoritas sertifikasi yang tidak tepercaya.

Secara default, aturan ini menganalisis seluruh codebase, tetapi ini dapat dikonfigurasi.

Deskripsi aturan

Aturan ini mendeteksi kode yang berpotensi menambahkan sertifikat ke penyimpanan sertifikat Otoritas Sertifikasi Akar Tepercaya. Secara default, penyimpanan sertifikat Otoritas Sertifikasi Akar Tepercaya dikonfigurasi dengan serangkaian otoritas sertifikasi (OS) publik yang telah memenuhi persyaratan Program Sertifikat Akar Microsoft. Karena semua CA akar tepercaya dapat mengeluarkan sertifikat untuk domain apa pun, penyerang dapat memilih CA lemah atau koercible yang Anda instal sendiri untuk ditargetkan untuk serangan - dan satu CA yang rentan, berbahaya, atau koercible merusak keamanan seluruh sistem.

Cara memperbaiki pelanggaran

Jangan menginstal sertifikat ke penyimpanan sertifikat Otoritas Sertifikasi Akar Tepercaya.

Kapan harus menekan peringatan

Tidak disarankan untuk menekan aturan ini.

Mengonfigurasi kode yang akan dianalisis

Gunakan opsi berikut untuk mengonfigurasi bagian mana dari codebase Anda yang akan menjalankan aturan ini.

Mengecualikan simbol tertentu
Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengonfigurasi opsi ini hanya untuk aturan ini, untuk semua aturan yang berlaku untuknya, atau untuk semua aturan dalam kategori ini (Keamanan) yang diterapkannya. Untuk informasi selengkapnya, lihat Opsi konfigurasi aturan kualitas kode.

Mengecualikan simbol tertentu

Anda dapat mengecualikan simbol tertentu, seperti jenis dan metode, dari analisis. Misalnya, untuk menentukan bahwa aturan tidak boleh berjalan pada kode apa pun dalam jenis bernama MyType, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

Nama simbol saja (menyertakan semua simbol dengan nama, terlepas dari jenis atau namespace yang memuatnya).
Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol. Setiap nama simbol memerlukan awalan jenis simbol, seperti M: untuk metode, T: untuk jenis, dan N: untuk namespace.
.ctor untuk konstruktor dan .cctor untuk konstruktor statik.

Contoh:

Nilai Opsi	Ringkasan
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Mencocokkan semua simbol bernama `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Mencocokkan semua simbol bernama `MyType1` atau `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Mencocokkan `MyMethod` metode tertentu dengan tanda tangan yang sepenuhnya memenuhi syarat yang ditentukan.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Mencocokkan `MyMethod1` dan `MyMethod2` metode tertentu dengan masing-masing tanda tangan yang sepenuhnya memenuhi syarat.

Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengecualikan jenis tertentu dan jenis turunannya dari analisis. Misalnya, untuk menentukan bahwa aturan tidak boleh dijalankan pada metode apa pun dalam jenis bernama MyType dan jenis turunannya, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

Nama jenis saja (mencakup semua jenis dengan nama, terlepas dari jenis atau namespace yang memuatnya).
Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol, dengan awalan T: opsional.

Contoh:

Nilai Opsi	Ringkasan
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	Mencocokkan semua jenis bernama `MyType` dan semua jenis turunannya.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	Mencocokkan semua jenis bernama `MyType1` atau `MyType2` dan semua jenis turunannya.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	Mencocokkan `MyType` jenis tertentu dengan nama yang sepenuhnya memenuhi syarat tertentu dan semua jenis turunannya.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	Mencocokkan `MyType1` dan `MyType2` jenis tertentu dengan masing-masing nama yang sepenuhnya memenuhi syarat, dan semua jenis turunannya.

Contoh kode semu

Pelanggaran

Sampel kode semu berikut mengilustrasikan pola yang terdeteksi oleh aturan ini.

using System;
using System.Security.Cryptography.X509Certificates;

class TestClass
{
    public void TestMethod()
    {
        var storeName = StoreName.Root;
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            storeName = StoreName.My;
        }

        var x509Store = new X509Store(storeName);
        x509Store.Add(new X509Certificate2());
    }
}

Solusi

using System.Security.Cryptography.X509Certificates;

class TestClass
{
    public void TestMethod()
    {
        var storeName = StoreName.My;
        var x509Store = new X509Store(storeName);
        x509Store.Add(new X509Certificate2());
    }
}

Bagikan melalui