Ist die app.config-Datei ein sicherer Ort zum Speichern von Kennwörtern?

Question

Ich muss vertrauliche Passwörter innerhalb des Codes speichern. Ich kann keine Hashing-Techniken verwenden, da das Passwort selbst benötigt wird. Wie kann ich diese Daten sicher in einer app.config-Datei speichern?

Gibt es andere Möglichkeiten, wie ich das sicher erreichen könnte?

DPAPI und ProtectData Class ist keine Option, da die Schlüssel systemspezifisch sind, z. B .: Verbindungszeichenfolgen können für unterschiedliche Endbenutzersysteme nicht auf diese Weise gespeichert werden.

Answer 1

Sie können DPAPI (Data Protection API) verwenden, um bestimmte Abschnitte Ihrer Konfigurationsdateien zu verschlüsseln. Ihr Code würde immer noch ConfigurationManager verwenden und die Entschlüsselung wird vom Framework übernommen. Weitere Informationen auf der gleichen auf diese Muster und Praktiken Dokument How To: Encrypt Configuration Sections in ASP.NET 2.0 Using DPAPI

aktualisieren

zum Verschlüsseln oder Entschlüsseln Informationen von Ihrem Code verweisen könnten Sie ProtectedData.Protect & ProtectedData.Unprotect verwenden. Dies kann als Teil einer benutzerdefinierten Aktion in Ihrem Installationsprogramm ausgeführt werden oder wenn der Benutzer die Anmeldeinformationen eingibt, wenn er Ihre Anwendung verwendet.

Beispielcode

class SecureStringManager 
{ 
    readonly Encoding _encoding = Encoding.Unicode; 

    public string Unprotect(string encryptedString) 
    { 
     byte[] protectedData = Convert.FromBase64String(encryptedString); 
     byte[] unprotectedData = ProtectedData.Unprotect(protectedData, 
      null, DataProtectionScope.CurrentUser); 

     return _encoding.GetString(unprotectedData); 
    } 

    public string Protect(string unprotectedString) 
    { 
     byte[] unprotectedData = _encoding.GetBytes(unprotectedString); 
     byte[] protectedData = ProtectedData.Protect(unprotectedData, 
      null, DataProtectionScope.CurrentUser); 

     return Convert.ToBase64String(protectedData); 
    } 
}