پاورشل برای برنامه‌نویسان

درسنامه: Execution Policy و امنیت اسکریپت‌ها

این درسنامه به بررسی Execution Policy در PowerShell و نحوه مدیریت امنیت اسکریپت‌ها می‌پردازد. PowerShell به‌طور پیش‌فرض برای جلوگیری از اجرای اسکریپت‌های مخرب، محدودیت‌هایی روی اجرای اسکریپت‌ها اعمال می‌کند. آشنایی با این محدودیت‌ها و تنظیم درست آن‌ها برای برنامه‌نویسان ضروری است تا بتوانند اسکریپت‌های خود را اجرا کنند بدون اینکه امنیت سیستم به خطر بیفتد.

۱. قوانین Execution Policy چیست؟

مجموعه Execution Policy مجموعه قوانینی است که تعیین می‌کند چه اسکریپت‌هایی در PowerShell قابل اجرا هستند. این سیاست امنیتی مانع اجرای اسکریپت‌های ناشناخته یا غیرقابل اعتماد می‌شود.

انواع Execution Policy شامل موارد زیر هستند:

• Restricted: پیش‌فرض روی اکثر ویندوزها. هیچ اسکریپتی اجرا نمی‌شود. تنها دستورات تعاملی (cmdlets) قابل اجرا هستند.
• AllSigned: تنها اسکریپت‌هایی که با یک گواهی معتبر امضا شده‌اند اجرا می‌شوند.
• RemoteSigned: اسکریپت‌های محلی بدون امضا اجرا می‌شوند اما اسکریپت‌های دانلود شده از اینترنت باید امضا داشته باشند.
• Unrestricted: تمام اسکریپت‌ها اجرا می‌شوند، اما PowerShell برای اسکریپت‌های دانلود شده از اینترنت هشدار می‌دهد.
• Bypass: هیچ محدودیتی وجود ندارد و هیچ هشدار یا پیام امنیتی نمایش داده نمی‌شود.
• Undefined: هیچ Execution Policy تعریف نشده است و معمولاً به معنای ارث‌بری از سیاست سیستم یا کاربر است.

۲. مشاهده و تغییر Execution Policy

برای مشاهده Execution Policy فعلی در PowerShell:

Get-ExecutionPolicy

برای مشاهده سیاست در سطوح مختلف (کاربر، سیستم، فرآیند فعلی):

Get-ExecutionPolicy -List

برای تغییر Execution Policy، دستور زیر استفاده می‌شود:

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

• -Scope مشخص می‌کند که تغییر برای کاربر فعلی، کل سیستم یا فرآیند جاری اعمال شود.
• تغییر سیاست روی CurrentUser معمولاً کافی است و نیازی به دسترسی Administrator ندارد.

۳. اجرای اسکریپت‌ها با محدودیت

حتی اگر Execution Policy محدود باشد، می‌توان اسکریپت‌ها را برای اجرای موقت با اجرای PowerShell به صورت فرآیند مجزا انجام داد:

powershell -ExecutionPolicy Bypass -File .\myscript.ps1

این دستور فقط برای اجرای این فرآیند خاص، محدودیت‌ها را دور می‌زند و تاثیری روی سیاست کلی ندارد.

۴. نکات امنیتی

1. همیشه اسکریپت‌ها را از منابع معتبر اجرا کنید.
2. اگر اسکریپتی را از اینترنت دانلود کرده‌اید، قبل از اجرا بررسی کنید و در صورت لزوم، آن را با ابزار امضا دیجیتال بررسی کنید.
3. تغییر دائمی Execution Policy به Bypass یا Unrestricted خطرناک است و ممکن است سیستم را در برابر حملات مخرب آسیب‌پذیر کند.
4. استفاده از RemoteSigned معمولاً بهترین تعادل بین امنیت و راحتی توسعه است، به ویژه برای برنامه‌نویسانی که اسکریپت‌های محلی می‌نویسند.

۵. نمونه سناریو

فرض کنید می‌خواهید یک اسکریپت PowerShell را که خودتان نوشته‌اید اجرا کنید و در سیستم Execution Policy روی Restricted است:

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser
.\myscript.ps1

• با این کار، اسکریپت‌های محلی بدون امضا اجرا می‌شوند، ولی اسکریپت‌های دانلود شده هشدار می‌دهند.
• اگر بخواهید تنها برای یک بار اسکریپت اجرا شود بدون تغییر سیاست:

powershell -ExecutionPolicy Bypass -File .\myscript.ps1

جمع‌بندی

در نهایت Execution Policy یک لایه امنیتی مهم در PowerShell است که مانع اجرای اسکریپت‌های غیرمجاز می‌شود. برنامه‌نویسان باید با انواع سیاست‌ها آشنا باشند و بتوانند آن‌ها را به صورت موقت یا دائمی تغییر دهند تا توسعه و اجرای اسکریپت‌ها بدون مشکل انجام شود، بدون اینکه امنیت سیستم به خطر بیفتد. رعایت نکات امنیتی و استفاده از سیاست مناسب، به ویژه RemoteSigned، برای هر برنامه‌نویس حرفه‌ای ضروری است.