CA5380: Non aggiungere certificati all'archivio radice

Articolo
09/07/2023

Proprietà	valore
ID regola	CA5380
Title	Non aggiungere certificati all'archivio radice
Categoria	Sicurezza
Correzione che causa un'interruzione o un'interruzione	Nessuna interruzione
Abilitato per impostazione predefinita in .NET 8	No

Causa

L'aggiunta di certificati ai certificati radice attendibili del sistema operativo aumenta il rischio di legittimazione dell'autorità di certificazione non attendibile.

Per impostazione predefinita, questa regola analizza l'intera codebase, ma è configurabile.

Descrizione regola

Questa regola rileva il codice che aggiunge un certificato nell'archivio certificati Autorità di certificazione radice attendibili. Per impostazione predefinita, l'archivio certificati Autorità di certificazione radice attendibili è configurato con un set di ca pubbliche che soddisfano i requisiti del programma di certificazione radice Microsoft. Poiché tutte le autorità di certificazione radice attendibili (CA) possono rilasciare certificati per qualsiasi dominio, un utente malintenzionato può scegliere un'autorità di certificazione debole o coercibile installata da se stessi per individuare un attacco e un'unica CA vulnerabile, dannosa o coercibile compromette la sicurezza dell'intero sistema.

Come correggere le violazioni

Non installare i certificati nell'archivio certificati Autorità di certificazione radice attendibili.

Quando eliminare gli avvisi

Non è consigliabile eliminare questa regola.

Configurare il codice da analizzare

Usare le opzioni seguenti per configurare le parti della codebase in cui eseguire questa regola.

Escludere simboli specifici
Escludere tipi specifici e i relativi tipi derivati

È possibile configurare queste opzioni solo per questa regola, per tutte le regole a cui si applica o per tutte le regole in questa categoria (Sicurezza) a cui si applica. Per altre informazioni, vedere Opzioni di configurazione delle regole di qualità del codice.

Escludere simboli specifici

È possibile escludere simboli specifici, ad esempio tipi e metodi, dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun codice all'interno di tipi denominati MyType, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Formati di nome simbolo consentiti nel valore dell'opzione (separati da |):

Solo nome simbolo (include tutti i simboli con il nome, indipendentemente dal tipo o dallo spazio dei nomi contenitore).
Nomi completi nel formato ID della documentazione del simbolo. Ogni nome di simbolo richiede un prefisso di tipo simbolo, ad esempio M: per i metodi, T: per i tipi e N: per gli spazi dei nomi.
.ctor per costruttori e .cctor per costruttori statici.

Esempi:

Valore opzione	Riepilogo
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Corrisponde a tutti i simboli denominati `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Corrisponde a tutti i simboli denominati `MyType1` o `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Corrisponde a un metodo `MyMethod` specifico con la firma completa specificata.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Trova la corrispondenza con metodi `MyMethod1` specifici e `MyMethod2` con le rispettive firme complete.

Escludere tipi specifici e i relativi tipi derivati

È possibile escludere tipi specifici e i relativi tipi derivati dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun metodo all'interno di tipi denominati MyType e dei relativi tipi derivati, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Formati di nome simbolo consentiti nel valore dell'opzione (separati da |):

Solo nome di tipo (include tutti i tipi con il nome, indipendentemente dal tipo o dallo spazio dei nomi contenitore).
Nomi completi nel formato ID della documentazione del simbolo, con un prefisso facoltativoT:.

Esempi:

Valore opzione	Riepilogo
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	Corrisponde a tutti i tipi denominati `MyType` e a tutti i relativi tipi derivati.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	Corrisponde a tutti i tipi denominati `MyType1` o `MyType2` e a tutti i relativi tipi derivati.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	Corrisponde a un tipo `MyType` specifico con il nome completo specificato e tutti i relativi tipi derivati.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	Corrisponde a tipi `MyType1` specifici e `MyType2` con i rispettivi nomi completi e tutti i relativi tipi derivati.

Esempi di pseudo-codice

Violazione

Nell'esempio di pseudo-codice seguente viene illustrato il modello rilevato da questa regola.

using System.Security.Cryptography.X509Certificates;

class TestClass
{
    public void TestMethod()
    {
        var storeName = StoreName.Root;
        var x509Store = new X509Store(storeName);
        x509Store.Add(new X509Certificate2());
    }
}

Soluzione

using System.Security.Cryptography.X509Certificates;

class TestClass
{
    public void TestMethod()
    {
        var storeName = StoreName.My;
        var x509Store = new X509Store(storeName);
        x509Store.Add(new X509Certificate2());
    }
}

Condividi tramite