[Day15] 資料使用安全(保護連接字串)下

2017 iT 邦幫忙鐵人賽

DAY 15

Security

資料安全與簡單加密演算法見面會系列第 15 篇

2017鐵人賽 asp.net

StanleyJui

2016-12-30 19:32:59

29434 瀏覽

分享至

接續昨天的連接字串(connectionstring)保護，無論是加密連接字串或是從其他安全機制取得密碼，免不了都要修改DAL(Data Access Layer)資料存取層的程式，江湖傳說懶是工程師的美德，有著神祕推著人類進步的力量，那麼這樣的美德我們.NET工程師能不能培養？

哈!有的! ASP.NET有的支援!

使用ASP.NET IIS註冊工具(Aspnet_regiis.exe)，我們可以指定加密或解密Web組態檔的區段。
當處理.NET讀取 Web.config 檔案時，ASP.NET 也會自動解密已加密的組態項目。

我們來試試無痛加密升級。

組態檔案加密：

我們來試試看加密組態檔案中的connectionStrings區段

啟動開發人員命令提示字元

Windows + Q + 輸入VS 2015 > 滑鼠滑到開發人員命令提示字元 > 右鍵系統人員執行

把web.config放在指定目錄下，假設我們放在E:\Test\Web，然後執行以下Command加密:

aspnet_regiis -pef "connectionStrings" "E:\test\web" -prov "RsaProtectedConfigurationProvider"

加密後的連線字串

執行以下Command設定儲存加密金鑰容器的權限

金鑰容器權限
aspnet_regiis -pa "NetFrameworkConfigurationKey" "stanleyjui"

預設金鑰容器名稱是NetFrameworkConfigurationKey

試試看從.NET程式取得連接字串

[TestMethod]
public void TestSqlConnectionStringFromConfigEncrypted()
{
    //簡單連線資料庫查詢SQL Server版本資料
    using (SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings["ironman"].ConnectionString))
    {
        Console.WriteLine(conn.ConnectionString);
    }
}

執行結果：

果然自動解密！

組態檔案解密：

執行以下Command進行組態檔案解密

aspnet_regiis -pdf "connectionStrings" "E:\test\web"

組態檔案順利解開!

選擇演算法

DpapiProtectedConfigurationProvider. 使用 Windows Data Protection API (DPAPI) 加密和解密資料，使用3DES加密演算法。
RsaProtectedConfigurationProvider 使用 RSA 加密演算法加密和解密資料。
不過，只有RSA才能匯出金鑰到其他伺服器使用。

PersistSecurityInfo

如果希望與SQL連線建立後，迅速清除記憶體中連接字串的密碼資訊，記得不要把PersistSecurityInfo設定成True。
PersistSecurityInfo預設是false，SqlConnection.open()後就會清除密碼資訊了。
sqlsb.PersistSecurityInfo = false;