Rijndael 的商店 IV 和钥匙

Question

我需要将用户名和密码存储在 app.config 中。我想使用 Rijndael 算法加密这些值。我在哪里存储用于解密 un 和 pw 的密钥和 IV？我需要将应用程序部署到不同用户的不同服务器上。

Answer 1

加密 web.config 或 app.config 文件通常使用 RSA 或 DPAPI 加密来完成。

我不确定它是否适合您的情况，只有当应用程序的用户受到限制而不是管理员时，它才有效。

http://msdn.microsoft.com/en-us/library/ff647398。 ASPX

Answer 2

绝对不要存储在程序集中 - 相对简单地查看 IL 可能会泄露秘密。即使对其进行混淆，也无法提供额外的安全性。

最简单的方法是在不同服务器上本地使用操作系统\文件系统安全性来控制对密钥文件的读取访问。

Answer 3

理想情况下，文本文件位于无法通过网络访问的位置，只能通过具有严格权限的本地文件系统访问。

如果您需要分发应用程序，您可以使用以下结构

• C:\MyApp 作为密钥和其他私有信息
• C:\MyApp\www 作为虚拟

目录将防止窥探（或网络服务器错误）访问数据。只有对机器进行物理访问才有可能泄露它，并且通常可以更好地控制。

Answer 4

使用机器密钥加密来做到这一点怎么样？ （据我所知）没有简单的方法可以做到这一点，但是您可以使用反射侵入框架。机器密钥没有或仅部分存储在机器上。如果将 ASP.NET 配置为“为每个应用程序生成唯一密钥”，则应用程序的路径将用于派生密钥。

代码会是这样的：

private static MethodInfo _cookieEncryptMethod;
private static MethodInfo _cookieDecryptMethod;

public static string MachineKeyEncrypt(string data)
{
    if (_cookieEncryptMethod == null)
    {
        _cookieEncryptMethod = Type.GetType("System.Web.Security.CookieProtectionHelper").GetMethod("Encode", BindingFlags.Static | BindingFlags.NonPublic | BindingFlags.InvokeMethod);
    }

    var dataBytes = Encoding.UTF8.GetBytes(data);

    return (string) _cookieEncryptMethod.Invoke(null, new object[] { CookieProtection.All, dataBytes, dataBytes.Length });
}

public static string MachineKeyDecrypt(string source)
{
    if (_cookieDecryptMethod == null)
    {
        _cookieDecryptMethod = Type.GetType("System.Web.Security.CookieProtectionHelper").GetMethod("Decode", BindingFlags.Static | BindingFlags.NonPublic | BindingFlags.InvokeMethod);
    }

    var data = (byte[]) _cookieDecryptMethod.Invoke(null, new object[] { CookieProtection.All, source });

    return Encoding.UTF8.GetString(data);
}