MSI安装程序中EXE应用的安全防护：加密还是拆分MSI包？

• 当前配置：通过WIX将大量.exe及其他文件打包为MSI，安装至ProgramFiles目录；使用Bootstrapper.exe安装前置依赖并启动MSI，安装包存储于可按用户/组管控权限的网络共享。
• 背景：仅授权用户可访问MSI中的部分应用。
• 核心问题：如何防止无权限人员获取MSI后，通过安装或Orca等工具提取敏感.exe？

1. 双安装包方案 #

• 缺点：新版本维护成本翻倍，需同步更新两个包；完整MSI一旦泄露，无权限人员仍可提取/安装敏感应用，根本问题未解决，不推荐。

2. 加密嵌入方案 #

• 思路可行，但原方案存在几个关键问题：
  • 密钥管理风险：若密钥硬编码在程序中，易被逆向破解；若通过外部分发，需确保仅授权用户能获取。
  • AppData存储隐患：同账号下的其他用户可访问该目录下的解密文件；若未及时删除，敏感文件会残留。
  • 运行逻辑复杂度：需额外处理解密、临时文件存储、退出清理等流程，增加代码维护成本。

方案一：加密+权限管控+临时运行 #

• 针对原加密方案优化：
  1. 将敏感.exe加密后嵌入MSI，安装至ProgramFiles时设置权限为仅管理员和授权组可读，避免普通用户直接访问密文文件。
  2. 密钥通过企业AD组策略分发，或主程序启动时通过域身份认证获取临时密钥（有效期短，仅单次运行可用）。
  3. 解密后的敏感.exe写入[User]\AppData\Local\[MainApplicationName]\Temp目录，运行完成后立即删除；同时设置该临时目录权限为仅当前用户可读。
• 优势：既解决了ProgramFiles的写入权限问题，又降低了敏感文件残留风险；加密+权限双重防护，即便MSI被提取，拿到的也是密文。

方案二：Bootstrapper前置校验+按需下载 #

• 调整打包策略，不将敏感exe放入MSI：
  1. Bootstrapper启动时先做权限校验（比如查询AD用户组），仅授权用户可进入下一步。
  2. 授权用户通过Bootstrapper从加密的专属网络共享下载敏感exe，基础组件仍由MSI安装至ProgramFiles。
  3. MSI仅包含公共组件，即便泄露也无敏感内容；敏感文件的下载权限由网络共享管控，未授权用户无法获取。
• 优势：彻底隔离敏感文件与公共MSI，维护成本低，仅需更新敏感文件的共享版本即可。

方案三：MSI自定义动作+条件安装+加密 #

• 结合MSI自身特性强化防护：
  1. 在MSI的InstallExecuteSequence中添加自定义动作，安装前验证用户是否属于授权AD组，未通过则终止安装。
  2. 将敏感组件设为条件安装，仅当用户通过权限校验时才安装。
  3. 敏感exe仍需加密，防止被Orca修改条件后提取。
• 注意：MSI的条件和自定义动作可能被逆向修改，必须配合加密使用，提升破解门槛。

方案四：数字签名+安装权限管控 #

• 基础防护措施：
  1. 给Bootstrapper和MSI添加企业数字签名，Bootstrapper启动时验证MSI签名，防止被篡改。
  2. 网络共享仅开放给授权组读取完整安装包，未授权用户无法获取MSI。
  3. 敏感组件安装后，设置文件权限为仅授权组可读，即便被安装，未授权用户也无法运行。

• 没有绝对安全的方案，所有措施都是提升攻击门槛，核心是权限管控+加密结合。
• 密钥绝对不能硬编码在程序中，必须使用企业级密钥管理系统或AD组策略分发。
• 定期审计授权组和网络共享权限，避免权限泄露。

内容的提问来源于stack exchange，提问作者10100111001