.NET ist Microsofts kostenlose Open-Source-Entwicklerplattform, mit der Anwendungen in C#, F# und Visual Basic unter Windows, Linux und macOS erstellt und ausgeführt werden.
Wie .NET funktioniert
Der Quellcode wird in eine Zwischensprache (IL) übersetzt. Zur Laufzeit wandelt die Common Language Runtime (CLR) den IL-Code in Maschinencode um, verwaltet den Speicher per Garbage Collector und sorgt für Typsicherheit. Eine umfangreiche Klassenbibliothek deckt Netzwerk, Kryptografie, Dateizugriff und Webentwicklung (ASP.NET Core) ab.
- .NET Framework – die ursprüngliche, nur für Windows verfügbare Version (zuletzt 4.8.1), die weiterhin mit Windows ausgeliefert wird.
- .NET (früher .NET Core) – der plattformübergreifende Nachfolger, seit .NET 5 im Jahr 2020 vereinheitlicht. Jedes Jahr im November erscheint eine neue Hauptversion; gerade Versionen (.NET 8, .NET 10) erhalten drei Jahre Langzeitsupport (LTS).
Warum .NET für die Sicherheit wichtig ist
Verwalteter Code beseitigt ganze Klassen von Speicherfehlern, doch .NET-Anwendungen leiden weiterhin unter Logikfehlern, Injection und vor allem unsicherer Deserialisierung: BinaryFormatter galt als so gefährlich, dass Microsoft ihn in .NET 9 entfernt hat. Auch Angreifer nutzen .NET gern: IL lässt sich leicht dekompilieren und direkt in den Speicher laden, deshalb sind viele Infostealer und Remote Access Trojaner in C# geschrieben und mit Obfuskatoren und Packern verschleiert. Bösartige NuGet-Pakete, die beliebte Bibliotheken imitieren, sind eine wiederkehrende Gefahr für die Lieferkette.
Empfehlungen
- Setzen Sie eine unterstützte .NET-Version ein und installieren Sie die monatlichen Sicherheitsupdates.
- Deserialisieren Sie keine nicht vertrauenswürdigen Daten mit Serialisierern, die Typinformationen einbetten; nutzen Sie
System.Text.Jsonmit festen Typen. - Fixieren und prüfen Sie NuGet-Abhängigkeiten und aktivieren Sie die Signaturprüfung für Pakete.
- Behandeln Sie unsignierte .NET-Programme aus unbekannten Quellen als verdächtig; Decompiler wie ILSpy oder dnSpy zeigen, was sie tatsächlich tun.
